#115 Tipps zum Cyber Resilience Act

ein neues Level der Cyber-Sicherheit. Der Security Insider-Podcast. Der Podcast für Security-Profis mit Infos, News und Meinungen rund um IT-Sicherheit. Und hier sind Peter Schmitts und Melanie Staudacher. Hi, Peter. Hi, Mellie. Wir wollen heute über den Cyber-Resilience-Ekt sprechen, eine EU-Verordnung, die die Sicherheit von neuen Produkten mit digitalen Elementen erhöhen soll. Was würdest du sagen, wie viele solche Geräte hast du denn bei dir daheim? Das ist extrem schwer, so auf die Schnellen zu sagen. Damit sind ja nicht nur Geräte gemeint, die sich mit dem Internet verbinden können, sondern alle Geräte, die mit anderen Systemen oder Netzwerken z.B. Nokale oder Web-Lotus koordinizieren. Und eigentlich gehören ja auch Softwareprodukte dazu, das kann die Messenger App auf dem Handy sein oder ein Streaming-Dienst auf dem Smart TV, aber auch ein Programm auf dem Laptop. Wenn wir jetzt aber anfangen, das alles auch noch aufzuzählen, dann kommen wir gar nicht mehr zur Folge. Das stimmt, aber es gibt schon mal eine Vorstellung davon, wie groß der Scope des Cyber-Resilience-Ekt tatsächlich ist. Als extrem technikaffiner Mensch komm ich ohne langen Nachzudenken auf weit mehr. Also in Dutzend habe wir Geräte in meinem Haushalt, die theoretisch im CAH unterliegen würden. Und wenn ich genauer nachdenke, wäre das wahrscheinlich eher 20, 30 oder 40 Stück. Ganz schön viel als so. Der Cyber-Resilience-Ekt ist am 10. Dezember 2024 in Kraft getreten. Und damit hat jetzt eine dreijährige Umsetzungsfrist gestartet, die scufenweise voranschreitet. Stimmt. Und ab dem 11. Juni bewerten sogenannte Konformitätsstellen, die Erfüllung der Handfahrungen des CAH. In Deutschland übernimmt das des BSE als Aufsicht und Notifizierungsbehörde, die Bewertung und Zulassung dieser Stellen und auch die Marktüberwachung. Ab dem 11. September 26 gilt die Meldepflicht für aktiv ausgenutztes Schwachstellen und schwere Vorfälle. Und ab dem 11. Dezember nächsten Jahres müssen alle CAH-Arenforderungen erfüllt werden. Das heißt jetzt nicht, dass wir alle Produkte, die wir schon zu Hause haben, zurückschicken müssen, es wäre aber dir fehlt da eigentlich alle dann auch. Wirst du ohne Hardware daheim? Der CAH gilt nur für neue Produkte, die auf dem EU-Markt verkauft werden sollen. Wir Entverbraucher profitieren also abende Dezember 27 von einer erhöhten Sicherheit und es gibt noch weitere Vorteile, die der CAH für uns mitbringt. Ja, auf die Hersteller und teilweise auch auf die Zulieferer kommen damit allerdings umfangreiche Pflichten zu, die nicht so leicht umzusetzen sind. Deswegen haben wir Professor Dominik Merley, Professor für IT-Sicherheit an der Technischen Hochschule Augsburg gebeten, ein paar Tipps für die Umsetzung des Cyberresilience-X zu teilen. Und da erklärt, warum es auch aus Web-Gewerbsicht eine Klugestratigie ist, in die Umsetzung zu investieren. Viel Spaß beim Zuhörn. Bevor es mit dem Podcast losgeht, noch ein kurzer Hinweis in eigener Sache. Zukunft der IT-Sicherheit beginnt jetzt. Die ISX IT Security Conference bringt auch 20/26 wieder über 500 Experten aus Wirtschaft, Verwaltung und Forschung zusammen, um aktuelle Risiken, Strategien und Best Practices zu diskutieren. Ein Event für alle, die die Cybersecurity von morgen aktiv mitbringen wollen. In Hamburg, München, Frankfurt und Düsseldorf. Weitere Infos gibt es in den Schauen aus. Und jetzt geht's weiter mit der Folge. Hi Dominik, stelle ich bitte kurz vor. Ja, mein Name ist Dominik Merley. Ich bin Professor für IT-Sicherheit an der Technischen Hochschulen Augsburg und leite dort das Institut für innovative Sicherheit. Ich habe eine Vergangenheit bei Frauenhofer und Siemens und habe mich immer schon damit befasst, wie wir sichere Produkte entwickeln. Ja, das ist ja jetzt mit dem Cyberresiliensext-Hochaktuelles Thema. Was ist denn der Cyberresiliensext? Was machst du dazu an der Technischen Hochschule in Augsburg? Und wo stehen wir so generell gerade mit dieser EU-Vorgabe? Der Cyberresiliensext ist eben eine Verordnung der EU. Das heißt, sie gilt ähnlich wie die Datenschutzgrundverordnung direkt, nachdem das erlassen wurde für die ganze EU. Und der wurde eben publiziert Ende 2024. Und in diesem Zuge wurde eben das ganze Thema Cyber-Sicherheit für Produkte auf ein neues Wohlgehob. Und warum gefasst ich mich damit? Warum ist mir das Thema auch wichtig? Weil es ganz viele nur an der Randepfisse mitbekommen haben. Und der Stand sehr unterschiedlich ist. Es gibt vor allem große Unternehmen, die sind da schon relativ weit. Die haben sich auch im Voraus schon damit befasst. Gibt aber auch gerade im Mittelstand und bei den KMUs einige Unternehmen, die jetzt erst so langsam anfangen, sich mit Cyber-Sicherheit im Produkten zu befassen. Welche Produkte sind denn betroffen vom Cyberresiliensext? Der Cyberresiliensext spricht immer von Produkten mit digitalen Elementen. Ja, fragt man sich, was ist denn das? Das kann tatsächlich reine Software sein, die verkauft wird. Das kann aber auch jegliches IoT-Gerät sein, das Vernetznis, das über WLAN oder über Netzwerk. Das können aber auch einfache Gerätdesign die Schnittstellen aufweisen. Es muss nicht die Internetverbindung sein. Das heißt letztendlich jeder, der Software in gewisser Art erstellt oder die in seine Produkte integriert und bestimmte Schnittstellen an seinem Produkt hat, der ist davon auch betroffen. Da können wir davon ausgehen, dass das sehr viele Produkte sind, die betroffen sind. Und was ist so ein bisschen der Hintergrund? Warum gibt es jetzt seit Ende 2024 diese EU-Verordnung, was es so der PainPoint, der damit angegangen wird? Ich glaube, das war ja für einfach. Man hat in den letzten Jahren einfach zu wenig auf dieses Thema geachtet. Preivilig bewegen sich da die wenigsten. Es ist Sicherheit ist immer ein komplexes Thema. Es greift in Architektur ein, es greift in Kompatibilität mit alten Systemen ein. Deswegen schiebt man das gerne vor sich her und greift das nicht proaktiv an. Genau an der Stelle muss irgendwann der Gesetzgeber sagen, um ein gewisses Mindest-Sicherheitsniveau in der Gesellschaft bei unseren Produkten auf dem europäischen Markt sicherzustellen, muss sich eine Regulierung erlassen. Die klassischen Risiken sage ich jetzt mal, wenn durch Kompatibilität oder unsichere Architektur, was zu eben meintest, Sicherheit ist immer, dass zum Beispiel Datenverkehr abgehört wird, dass malware sich verbreiten kann. Da gibt es ja zahlreiche Risiken einfach. Das ist ja kein Problem, was dann in den Unternehmen bleibt. Das hat ja auch gravierende Auswirkungen auf die Öffentlichkeit auf Privatnutzung. Ich glaube, ein Produkt mit digitalen Elementen hat jeder von uns mindestens einst zu so umlegen, wir talk gegen Smart-Geräte, das kann ja der Kühlschrank sein, das kann irgendwie Smartwatch sein, mein Smartphone, mein Laptop. Also das betrifft ja wahnsinnig viel, was sind denn da so die konkreten Anforderungen jetzt an die Hersteller? Wie können die das sicherer machen? Du hast schon ein ganz gutes Stichwort genannt, nämlich Risiken und zwar die Risiken für die Kunden, für die Nutzer. Und genau darum geht es. Jeder Hersteller muss sich gedacht um machen, welche Risiken bringt mein Produkt beim Kunde? Und genau die geht es zu reduzieren oder zu eliminieren, je nachdem was möglich ist. Man muss also die Brille aufsetzen, wie wird mein Produkt eingesetzt? Den Wähen Branchen, den Wähen Anwendungen und was ist letztendlich das Risiko, was für meinen Kunden oder auch die Gesellschaft im größeren dadurch entstehen kann? Und diese Risiken, die muss sich adressieren. Es ist ganz wichtig zu verstehen, dass es beim Cyber-Resilienseiten nicht um eine Checkliste geht, wo man sagt, okay, es gibt hier die fünf Maßnahmen, die muss jungen setzen, die hacke ich ab und habe nicht fertig. Sondern es ist immer eine individuelle Betrachtung, was tut mein Produkt für Wähen Zweck? Ist mein Produkt vorgesehen? Und wer herißigen sind darin dann involviert? Und die gilt es zu adressieren. Da gibt es doch auch Abstufungen von den einzelnen Produkten, je nachdem wie wichtig oder kritisch die sind, oder? Genau. Der Cyber-Resiliensech-Ziebter verschiedene Stufen vor. Der Großteil fällt in die Gruppe der normalen Geräte. Und dort ist es so, dass auch eine Selbsterklärung zur Konformität ausreicht. Es muss ja letztendlich dann auch ein CE-Zeichen vergeben werden. Und dafür muss eben ab december 27 auch die Cyber-Sicherheit passen. Wenn wir jetzt in kritischere Bereiche schauen, also tatsächlich Geräte, die zu Sicherheitsbecken eingesetzt werden. Ich sage jetzt mal Passport-Manager, aber auch Firewall-Lösungen oder noch kritischer, die dann im Bereich der kritischen Infrastrukturen zum Einsatz kommen. Dann sieht das Cyber-Resiliensech vor, dass es nicht nur eine Selbsterklärung gibt, sondern dass die Konformität auch von dritten Stellen untersucht und bewertet werden muss. Dass dich wird selbsterklärung ist jetzt schon ein paar Mal gefallen, was bedeutet das Co-Creat? Es geht letztendlich darum, dass der Hersteller die Konformität mit all den Anforderungen, die CE eben fordert, erklären muss und eben entsprechende Dokumentation vorhalten muss. Und dann vergibt er dieses CE-Kenn-Zeichen für sein Gerät. Wenn ich jetzt mein Produkt ist ja oftmals so in China zum Beispiel herstellen lasse oder Taiwan oder sonst wo, nicht in Europa auf jeden Fall. Dieses CE-Kenn-Zeichen. Also das kennen wir aus dem Alltag ganz viel. Wer ist dann dafür verantwortlich, dass das letztendlich auch in Form von dem Wasser. Zeichen vielleicht bei einer Software oder irgendwie drauf gedruckt auf meinen Chip vorhanden ist. Also letztlich diese Konformitätserklärung und das sind die Hersteller heute schon fit drin, dass das der Prozess an sich schon bekannt ist. Also das, wie gesagt, ist in vielen Fällen eine Selbsterklärung. Bei anderen wird es extern geprüft. Das neue ist nur, dass eben jetzt die Cyber-Sicherheit reinkommt und da fehlt oft die Expertise im eigenen Haus. Das ist ein bisschen Kamervergleichen, der eine oder andere Hersteller zieht da auch den Vergleich wie mit EMV-Prüfungen, ob das Gerät eben abstrahlt, ob das alles die Grenzwerte einhält, etc. Auch da brauche ich oft einen Prüflabor, dass mir eine Beschleinigung ausstellt, wie sich mein Gerät verhält. Aber auch da wäre es so, dass nicht das Prüflabor dann das CE erstellt, sondern letztlich der Hersteller selber sagt, okay, mit diesen Prüfvergebnissen, mit diesen Entwicklungsprozessen und so weiter, kann ich guten Gewissens dieses CE vergeben. Okay, dann ist letztendlich immer der Hersteller verantwortlich. Genau, außer es gibt eben die Produkte, die mit externen Zertifizierung stellen oder Notified-Bodies, an der Stelle zusammenarbeiten müssen, weil sie sehr kretsche Produkte haben, aber typischerweise sind die auch heute schon mit diesen Stellen in Kontakt oder zumindest auf einem höheren Awareness-Level als klassische Consumeralltagsprodukte. Umsetzung ist quasi die Zember 2027, da ist ja schon noch ganz schön lange hin. Also es ist quasi der finale Zeitraum, bis wann das alles top-notch sicher sein muss, wenn das schon seit Ende 2024 gilt. Wie ist es denn da so viel Zeit dazwischen? Es klingt natürlich nach viel Zeit, aber wenn man sich klar macht, wie lang Produktentwicklungszücheln sind, dann ist es gar nicht so viel Zeit. Und da steckt einiges dahinter nicht nur auf Produkt-Ebene, sondern auch auf Prozess-Ebene bei den Unternehmen. Wir haben das gesehen, z.B. auch in der Automobilindustrie. Da gab es auch einmal seinen Stichttag, an dem Cyber-Sicherheitsanforderungen erfüllt werden mussten. Und das eine oder andere Modell wurde zu diesem Stichttag dann abgekündigt. Und das gleiche wird uns passieren im Dezember 27, dass das eine oder andere Produkt, weil man die Cyber-Sicherheitsanforderungen nicht erfüllen kann oder möchte, dass es dann abgekündigt wird. Das bedeutet aber im Umkehrschluss, ich muss ja rechtzeitig zuvor anfangen, eine neue Generation zu entwickeln. Und das dauert ja Monate, wenn ich Jahre und deswegen ist es ganz entscheidend und das kann ich nur aufgenug wiederholen, jetzt anzufangen, wer jetzt noch nicht dran arbeitet, seine ganze Produktpalette zu betrachten, hinsichtlich der Cyber-Sicherheit. Ja, der wird langsam unter Zeitdruck kommen, weil der Dezember 27 ist nicht mehr so weit weg. Was da vielleicht noch dazu kommt, was man nicht vergessen darf, es geht nicht nur darum im Produkt, das eine oder andere Feature einzubauen oder eine Sicherheitsmaßnahme zu integrieren, sondern es geht auch darum, dass die Unternehmen Prozesse aufbauen, dass in Zukunft jedes Produkt jede Produktänderung aus Cyber-Sicherheitsrisikoperspektive betrachtet wird. Und das auch ein Schwachstellenmanagement verhandelt für bestehende Produkte, aber natürlich auch neue Produkte, die Drickkomponenten überwachen. Ja, gibt es in meinen Software-Beglötheken Schwachstellen, die ich beachten muss. Muss ich reagieren, ist die Schwachstelle für mich relevant, weil es Risiko steckt wieder für meine Kunden dahinter. Wen muss ich informieren, muss ich vielleicht sogar Behörden informieren? Das sind Prozesse, die nicht von heute auf morgen etabliert und effizient Funktionsfähig sind. Deswegen jetzt anfangen. Ja, also ich hör schon raus, waren sie nicht umfangreich und ich meine, da würze dann auch wirklich Geschäftskritisch für Unternehmen, die eben solche Produkte produzieren und verkaufen wollen, weil ein Produkt, das nicht dem CAA entspricht, darf nicht auf den EU-Markt, also dass darf nicht verkauft werden und dann, ja, was machen die Unternehmen, dann haben sie nichts zu verkaufen. Gibt es denn in der Umsetzungsfrist bis Ende 2027 auch nochmal Abstufungen oder ist es egal, wann welcher Schritt umgesetzt wird, Hauptsache bis Ende 20 ist, dass alles nie und nahe gefisst? Es gibt jetzt im Voraus noch einen wichtigen Meilenstein, der jetzt im Sommer 26 schon kommt. Das letztendlich diese melde Prozesse vorhanden sein müssen, wenn es zu schwerwiegenden Vorfällen in der Produktentwicklung kommt, also zum Beispiel, dass geheime kropografische Schlüssel gestohlen werden, ja, aus Produktentwicklungsinfrastrukturen, dann wäre das ein Grund, diesen Vorfall zu melden, weil eben dann sehr viele Produkte im Feld angreifbar werden von heute auf morgen und das müsste man an BSE und die Iniza melden und genau diese Prozesse, die sollen eben schon dieses Jahr bis der September im Einsatz sein. Okay, du hast jetzt schon gesagt, es ist keine Checkliste, die ich einfach abhaken kann und ich bin fertig, sondern ich muss richtig Prozesse aufbauen, als ich muss wirklich in meinem Unternehmen da eingreifen in bestehende Strukturen, das heißt jetzt für mich so ein bisschen, dass da deutlich mehr Leute als nur die EIT-Sicherheitsbeauftragten und vielleicht ein paar Entwickler mit dran arbeiten müssen, wär es denn konkret verantwortlich mit dem Unternehmen für den Cyber-Rissiliensekt? Absolut, das ist ein ganz wichtiger Punkt vor allem zu Beginn, die Verantwortung zu klären und es gibt Unternehmen, die haben schon im EIT-Sicherheitsbereich, viel Expertise, auch bezüglich Kropografie, sichere Kommunikation und Ähnlichem und die wird hier ein bisschen mitgenutzt für die Produktentwicklung. Das gibt es durchaus, es gibt aber auch Unternehmen, die das stark am Entwicklungsleiter am CTO aufhängen, das wirklich als Aufgabe der Entwicklung betrachten, was ich sehr vernünftig finde und die dritte Möglichkeit ist, dass es ein Produkt-Compliance-Team gibt, dass es schon mit CE-Konformität oder ähnlichen Compliance-Themen betraut ist und dass die hier eine Steuerungsfunktion übernehmen. Aber ganz wichtig ist, dass die Cyber-Sicherheit von diesem Produkt nie ein reines Technik-Thema ist, was jetzt die Softwareentwicklung alleine lösen kann, sondern gerade diese Betrachtung der Risiken, da spielt viel mit rein, dass man versteht, wie der Kunde eigentlich mit diesem Produkt umgeht, was da vielleicht auch an digitalen Services mit dranhängt, was in der Umgebung des Kunden dann auch alles schiefgehen kann und es macht natürlich auch Sinn in diesem Zuge der Risiken für das eigene Unternehmen mitzubetrachten. Das bestimmte finanzielle Risiken auch auf den Hersteller zu kommen, wenn hier angenehle für stattfinden. Seit wann bleust du deinen Studierenden an der Hochschule ein, dass der CAA kommen wird und dass dann auch die Sicherheit super relevanter Baustein in der Entwicklung sein wird? Also ich bin ja seit 2017 an der Hochschule und wir haben 2017 schon angefangen, sowohl mit Unternehmen als auch mit den Studierenden genau dieses Thema Risikoanalys für eingebettet das Systeme voranzutreiben. Dass das in jeden Kopf kommt, dass es nicht darum geht, eben abzuhaken. Ich habe eine tolle Verschlüsselung und ich habe den besten Chip den Mann da draußen finden kann, sondern wirklich zu überlegen, was könnte denn passieren? Lassen die Bedrohungen und was wären in schlimmsten Fall Auswirkungen auf eine kritische Infrastruktur, auf den Kunden vielleicht sogar auf Menschen, die dann eben durch komplementiert, die Safety-Einrichtungen eben aufzuschaden kommen können. Also schon zehn Jahre vorher quasi bis zur Umsetzungsfrist, das ist auf jeden Fall mal. Für bezeitiges Engagement weißt du eigentlich, ob es da Schätzungen oder Hochrechnungen gibt, wie viele deutsche Unternehmen von Cyber-Resignancy betroffen sind? Ich habe da keine Zahlen dazu. Es gibt auch ein paar die ausgenommen sind, zum Beispiel Automobil, weil es da eben andere Regulierungen gibt, auch Medizin-Geräte, weil es da die Medical-Device-Raculation gibt. Das heißt gibt ein paar Droschen oder Bereiche, die ausgenommen sind, aber alle anderen, die jetzt nicht, ich sage mal, die jetzt nicht in einen Hammer herstellen, der irgendwie keinerlei Elektronik enthält, alle anderen sind betroffen und müssen sich damit befassen. Ja, sehr, sehr viele. So, du hast schon die Lieferkette einmal ganz kurz am Rande erwähnt. Wenn ich jetzt ein digitales Produkt herstelle, bleibt man mal beim Chip, wenn ich den jetzt nicht selber direkt verkaufe, sondern über Distributoren zum Beispiel, ist ja ganz klassisch oft auch in dem Geschäft, welche Pflichten haben dann diese Distributoren oder generell meine Lieferkette, vielleicht importeure, anderweitige Handler. Haben die auch Anforderungen durch den CAA, die sie einhalten müssen? Es wird tatsächlich beim CAA das ganze Ökosystem betrachtet. Das betrifft natürlich auch Produkt, die außerhalb der EU entwickelt werden und dann importiert werden. Auch da muss die CAA-Kennzeichnung passen, wie heute auch schon, aber da fallen eben auch Cybersecurity-Themen mittlerweile drunter. Das heißt, CAA ist nicht nur Thema in Europa, sondern eben auch auf anderen Kontinenten und es wird sich zeigen, wie stark wir das dann kontrollieren können und was dafür Maßnahmen bestehen. Aber prinzipiell ist genau eben dieses Thema auch importörer Distributoren sind verpflichtet, Transparenz zu schaffen. Transparenz wird im Cyber-Sylentsekt sehr hoch angesetzt, weil der Kunde auch Informationen zur Sicherheit bekommen soll. Also ihr soll auch entscheiden können, ob denn das eine Produkt vielleicht für seinen Zweck sicherer ist als das andere oder ob Update, Züklinnen oder Update, Verfügbarkeit, ob das ein Kreatarium ist, dass das endlich seine Kaufentscheidung beeinflusst. All das sind Dinge, wo Transparenz wichtig ist und wo im Zukunft wahrscheinlich auch die Behörden an einer oder anderen Stelle nass fragen werden. Die technische Dokumentation dazu verhandelt ist, ob eben Schwachstellen, die gefunden wurden, auch tatsächlich ausgebessert werden in angemessener Zeit und da wird es spannend, wie die Praxis dann aussieht. Ja, auf jeden Fall. Weil du meintest, der CAA ist auch quasi auf anderen kontinenten relevant, ja, weil ich muss mir immer die Frage stellen, will ich dieses Produkt auf dem EU-Markt verkaufen, dann gilt der Cyber-Resilienceekt, weil wenn die Anforderungen nicht erfüllt sind, dann darf ich es dort einfach nicht weg nicht verkaufen. Was kann ich jetzt als Hersteller so konkret machen? Also, du hast schon gemeint, das ist ein Prozess. Ich wüsste jetzt gar nicht, wie ich da ansetzen kann. Also wahrscheinlich würde ich erstmal prüfen, sind denn meine Produkte, die ich aktuell verspült, also Herstelle und Vertreibe gibt es da welche, die schon CAA konform sind und dann eben schon so ein bisschen, wenn Überblick verschaffen, was würde da noch fehlen und so nach und nach in die Richtung Security bei Design gehen, aber es ist für mich noch nicht so greifbar, wie starte ich das denn? Genau, das läuft typischerweise zweigleichsig. Das eine betrifft das Unternehmen im Ganzen, das heißt, da muss Verantwortung festgelegt werden. Es müssen erste Bedrohungsrisikoanalyse stattfinden und es muss vor allem eben auch dieses Schwachstellenmanagement als Prozess meistens auch übergreifend, also für die ganze Produktpalette eingeschürt werden. Das bedarf natürlich gewisser Personen, die das tun, weil das ist kein Freitag nachmittag für einen Job. Man stellt dann auch relativ schnell fest, mein Produkt hat super viele Abhängigkeit. Also wo heute halt einfach Software gebaut wird ins Produkt kommt und ist gut funktioniert, können wir verkaufen, entsteht natürlich immer mehr Transparenz aufgrund des CAA und man merkt plötzlich, wir haben hier 320 Software Bibliotheken, die wir in unser Produkte mit einbeziehen. Die 320 Bibliotheken, die müssen wir beobachten, ob da Fehler auftreten, ob da Schwachstellen bekannt werden und ob das Auswirkungen hat auf die riesigen unseres Produkt und diese Prozesse müssen eingeschürt werden. Die zweite Schiene ist dann wirklich genau wie du sagst, diese Betrachtung, Produkt für Produkt, wie steht das heute da? In den aller meisten Fällen gibt es keine riesigen Analyse aus Cyber-Sicherheitsperspektive. Oft gibt es schon eine, auch Safety-Perspektive oder aus anderen Compliance-Gründen, aber auch Cyber-Sicherheitsperspektive fehlt die oft. Das heißt für jedes Produkt eine solche Analyse zu erstellen, welche riesigen sich da, das ist der erste Schritt. Das ist auch was, was wir oft eben mit Unternehmen tun oder wo wir anleiten und das spannende ist, dass so eine Analyse auch eine große Awareness-Maßnahme sein kann, weil plötzlich diese verschiedenen Perspektiven auf Sicherheit und was da passieren kann, das führt natürlich zu nachdenkprozessen. Und der eine oder andere geht raus aus diesen Meeting und denkt sich, okay, wir haben da viel zu tun und dann läuft es bei vielen im Kopf schon automatisch los, was jetzt alles getan werden könnte. Oft hat man dann auch eine priorisierte Liste. Es muss sagen, diese 5 Top-Risiken, die müssen wir in Griffgriehen. Gibt ein paar kleinere, die können wir vielleicht auch Workaround schaffen oder ähnlich ist, aber die Top-Risiken, die müssen wir systematisch angehen und vielleicht kann auch das Ergebnis sein, dass dieses Produkt nicht aktualisierbar ist, weil man bestimmte Risiken halt nicht in Griff kriegt, weil es die Hardware nicht hergibt, weil es die Software nicht leisten kann und dann haben wir natürlich das Problem, dass wir was neues entwickeln. Ja, also es ist natürlich auch Sicherheit, es ist sehr konsequent von der Gesetzgebung, in dem Fall zu sagen, solche Produkte, bei denen es einfach schlichtweg, nicht möglich ist, den CER zu erfüllen, dürfen nicht verkauft werden, aber für Unternehmen kann es ja schon erhebliche Auswirkungen auch haben, deswegen umso wichtiger, wie du sagst, zackig jetzt mal reingehen an die Sache. Ja und auch in den Dialog vielleicht gehen. Also es schadet doch es nicht, wir kennen das bei einigen Unternehmen, dass die plötzlich anfangen mit ihren Kunden, übersaiversicherheit zu sprechen, weil auch auf Kundenseite ist ja nicht immer einfach zu sagen, was will ich denn, was will ich denn genau oder was macht den Sinn. Es gibt Kunden, die auch in ihren Ausschreibungen oder Vertragsverhandlungen dann sagen, ich will alles, ja, seiversicherheit von ARBST, dann sagt der Hersteller, "Pu, ja kümpe schon machen kost halt ne Millionen mehr", dann sagt ja, aber das macht also, nee, das geht nicht und plötzlich fangen die an Wachschaps zu machen, ja, wäre heriesigen entstehen im Betrieb, was können wir dafür tun, was seid ihr bereit zu investieren, was sind vielleicht auch, wir nennen das dann so "Compensation Mashes", also Maßnahmen, die bestimmt das fehlen von Sicherheitsmaßnahmen kompensieren können, das eben der Betrieb in Zukunft nur noch in einem gekabselten Netzwerk erlaubt ist vom Hersteller und nicht mehr mit dem Internet verbunden sein, darauf oder ähnlich ist, auf Desk können Einigungen sein, die einfach kostengünstiger umzusetzen sind, als wenn das Produkt komplett so geherbt wird, werden muss, dass es eben freien Internet betrieben werden kann. Bei dem Punkt mit den Software-Bibliotheken, was du gerade angesprochen hattest, habe ich gerade zwei Klingeln im Kopf gehabt. Zum einen, wenn ich jetzt komenziell eine Software-Bibliothek anbiete, dann ist das ja zum einen von mir als Betreiber dieser Bibliothek ein digitales Produkt, welches ich herstelle und verkaufen vertreiben möchte, dann habe ich ja an der Stelle quasi meine Anforderungen, die ich erfüllen muss. Und wenn ich dann wiederum ein Hersteller bin, der dieses Software-Bibliothek genutzt, dann habe ich ja auch wieder meine Anforderungen, die ich erfüllen muss, ist das dann nicht doppelt, gemoppelt oder ist das so gewollt, dass ich quasi immer an allen Enten gewisse Anforderungen habe. Und der ist eine ganz spannende Frage, wie kann das überhaupt effizient funktionieren und letztendlich ist die ganze Lieferkette, hängt damit drin und jeder muss seinen Teil dazu beibragen. Das heißt, das kann man, wenn man jetzt, ich sage mal, man ist Hersteller einer Industrie-Komponente, einer Steuerroh, dann steckt da natürlich hardware drinnen, das heißt, wir haben Chiphersteller, die da irgendwie mit drin hängen, da steckt einiges an Software drinnen, wahrscheinlich ein kleines Betriebssystem, darauf aufbauen, diverse Bibliotheken, all das fließt ein in diese Industrie-Steuerung. Das heißt, ich als Hersteller dieser Industrie-Steuerung muss betrachten, was da alles reinfließt und was das für Auswirkungen hat, auch das Risiko in meinem Produkt. Auf der anderen Seite werde ich diese Industrie-Steuerung ja verkaufen und da wird es abnehmergeben, die vielleicht eigene Maschinen bauen oder ganze Fertigungslinien integrieren und die dann wieder in die Automobilindustrie, in eine Produktion, wie auch immer verkaufen. Das heißt, auch nach mir, gibt es wieder welche die neuere Produkte ganze Systeme darauf aufbauen und durch diese Kette muss eine Schwachstelle durch, das heißt, wenn wirklich, ich sage mal in einer kleinen Software-Bibliothek, die Bilder annimmt und verändert und dann anzeigt, wenn da was drin ist, dass ein bößartiges Bild eben zu einem Fehler führen kann oder zu einem einer Schwachstelle führen kann, dann muss ich als Hersteller von dieser Steuerung betrachten, okay, für was benutze ich dieses Bild oder diese Bibliothek? Ist es bei mir nur zum anzeigen? Die Dach kommen da wirklich Bilder rein, die ein User oder vielleicht sogar ein Externer einbringen kann und somit diese Gefahr tatsächlich besteht, dass das ausgenutzt wird und wenn ja, was würde das dann bedeutung? Würde dann wirklich das ganze Sicherheitskonzept zusammenbrechen oder könnte der mein Logo austauschen, das auf irgendein Bildschirm angezeigt wird. All diese Prozesse müssen stattfinden und müssen bewertet werden und je nachdem, wie kritisch es ist, muss ich es auch weitergeben wieder in der Liebverkette. Muss sagen, Achtung, wir haben da ein Problem, wir haben das selber mitbekommen, wir haben das jetzt drei Tage bewertet, wir wollen es euch jetzt weitergeben und das alles manuell zu machen, das natürlich super auch fänd ja. Das heißt, da wollen wir oder müssen wir in Richtung automatisiert der Lösungen, da gibt es auch die ersten Ansätze, das beginnt bei S-Bomben, also software bill auf Materials, eine Transparenz, was steckt überhaupt drin, aber es gibt auch weitere Maschinenlesbare Formate, wie das Wexformat, mit dem man bewerten kann, ob Schwachstellen ausnutzt oder auch das CSF Format. was dann eben Security, Advisories, Maschinen, Lesbar macht. All das sind Dinge, da müssen wir ein Ökosystem schaffen, damit die ganze wie verkette da effiziente Handlungsfähiges. Okay, nicht so einfach, ich sehe schon. Die zweite Frage, die zum Thema Software bibliotheken, bei mir gerade aufgeploppt ist, wie ist das denn bei Open Source Software, wer ist denn da verantwortlich oder oder müssen da die Entwickler und Main-Tainer, das ist ja so eine freiwillige Community, wie funktioniert das da? Sehr gut, der Punkt. Das wurde auch viel diskutiert im Rahmen des Software-Sylents-Akt. Wie geht man mit dieser großen, vielfältigen Open Source-Communitium? Und das Ergebnis ist, dass diese Mentäner eben nicht verpflichtet werden, können für ihr freiwilliges, kostenfrei ist, Open Source-Projekt jetzt auch noch solche Anforderungen abdecken zu müssen. Es bedeutet aber im Umkehrschluss, sobald jemand beginnt, diese Software zu nutzen und zu kommerzialisieren und wenn es nur in Richtung geht, ich biete kostenpflichtigen Support an für diese Software oder eben klar, ich baue diese Software in meinem Produkt mit ein, dann bin ich in der Verantwortung. Das kann im schlimmsten Fall bedeuten, wenn da eine Schwaststelle drin ist und die Community sagt, "Bah, sorry, wir haben gar keine Zeit, das zu fixen", dann ist es so notehersteller selber in der Pflicht das zu beheben. Das heißt, es kommt da eine stärkerer Pflicht auf die Hersteller. Das kann aber auch ein positive Effekt sein, dass Hersteller sagen, okay, wenn das System so funktioniert, dann engagieren wir uns mehr in dieser Open Source-Communitie zum einen, um die Software besser zu verstehen, also um letztendlich dann auch in der Lage zu sein, was zu beheben, wenn wir selber tun müssten oder auf der anderen Seite eben auch finanziell zu unterstützen, um sicherzustellen, dass es eine lebendige Community ist, die sich aus eigener Motivation dann schon sehr gerne um Schwachstellen kümmert. Das wäre natürlich schon auch zu begrüßen, das finde ich schon auch geil. Wir hatten jetzt auch schon öfter mal ja so als großen Vorteil, letztendlich von dem Cyber-Resilience Act genannt die Transparenz, die dann ja auch in alle Richtungen entstehen soll und entstehen muss. Hab ich denn da als Entverbraucherin auch neue Rechte, du hast schon gesagt, wenn es jetzt um Support, ja Zeiträume geht, end-of-Life, Informationen oder eben, einfach nur die Updates, welche bis es waden, in welchem Umfang bereitgestellt werden, gibt es da für mich als Entverbraucherin erweiterte Rechte, dass sich da irgendwie einen längeren Supportzeitraum hab im Rahmen des Cyber-Resilience Acts oder oder oder. Also ich glaube, der Supportzeitraum, das ist einer der zentralen Punkt, der an der Stelle, weil das bisher ja nicht festgelegt ist. Man weiß nicht, wie reagieren Hersteller überhaupt, gibt es überhaupt Sicherheitsupdates und wenn ja zwei Jahre lang und vielleicht drei Jahre lang, es gibt Hersteller, die ja heute schon solche Angaben liefern, die dann auch sagen, wir machen das kathasweise oder wir machen das monatlich sogar, genau das wird eben in Zukunft vom Cyber-Resilience Act gefördert. Das mindestens fünf Jahre ist so die typische Größenordnung. Außer man hat bestimmte Gründe, dass das Produkt selber nur zwei Jahre eigentlich in die Nutzung und dann end-of-life, klar, dann kann das auch sein, dass das eben nicht mehr so langs erportet werden muss, aber das sind Spezialfälle. Grundsätzlich gilt mindestens fünf Jahre beziehungsweise angepasst auf den Lebenszyklus. Das heißt, gerade für industrielle Hersteller, dass so eine Komponente auf zehn, 15 Jahre im Einsatz ist, dass auch über diese Zeit Sicherheitsupdates bereitgestellt werden soll. Und gerade solche Geräte, die kosten ja auch richtig viel Geld sowohl. Ja, Steuerungsmaschinen oder so. Ja, wenn die dann keine Sicherheitsupdates mehr kriegen, ich aber irgendwie das noch über keinen ab 10 Jahre abfreie, ja sauber, dann ist das ganz schön kacke eigentlich, ne? Kann man so sagen? Und ich glaube, der Resilience Act soll da letztendlich halt Klarheit schaffen. Und es kann natürlich auch ein Differenzierungsmerkmal sein, dass ein Hersteller sagt, okay, wir schreiben auch unser Produkt drauf, dass wir 15 Jahre Sicherheitsupdates generieren. Das ist natürlich eine Hausnummer. Und da wird sich der eine oder andere Betreiber dann denken. Okay, beim anderen kriege ich nur 10 oder 12, bei dem kriege ich 15. Ist vielleicht sogar ein Kaufkretärium. Ja, ja, klar. Was ist denn so realistisch für Unternehmen, wenn die jetzt noch gar nichts gemacht haben, um CAA komplein zu werden, mit wie viel Zeit, Geld, personellen Ressourcen müssen die so rechnen, kann man das so grob sagen? Das kann man natürlich schlecht sagen, weil das letztendlich von der Produktpalette abhängt, ja, habe ich hier ein kleines Produkt, habe ich 20 verschiedene Produkte, wie stark gibt es auch Synergien unter diesen Produkten, das in absoluten Zahlen zu sagen ist schwierig. Nee. Aber von der Zeit-Scheanie her einfach, muss man sich klar sein, okay, auch ein paar Wochen zumindest, um diese erste Risikonorie zu machen. Ich muss parallel diese Themen, Schwachstellenmanagement, prozess Personal einstellen, vielleicht auch. Beziehungsweise externe Berater finden, die auch Zeit haben, die nicht sagen, wir können wir schon machen, aber dieses Jahr nicht mehr. Also all das, diese Zeit-Scheanie, ich glaube, das ist ganz entscheidend. Und auch die Strategie dahinter, welche Produkte werden abgekündigt, welche nicht, welche werden aktualisiert? Wie möchte ich im Dezember 27 vorgehen? Die Entscheidung muss man jetzt treffen. Das heißt, Zeit aus meiner Sicht ein ganz wichtiger Faktor, aber eben auch Personal. Man wird nicht um Rom kommen, eine Verantwortung zu definieren, aber auch in den Entwicklungs- Teams, die typischerweise gut ausgelastet sind oder kontinuierlich an neuen Dingen arbeiten, dass die auch Zeit reservieren müssen, um jetzt Sicherheitsfunktionen reinzubringen. Und das kann einen ganzen Ratenschwanz nach sich ziehen, was es eben für Kompatibilität mit anderen Produkten in der Produktfamilie gibt und ähnlich ist. Das heißt, vom Aufwand her gilt anfangen, riesigen Bewerten und dann sieht man, wo man steht. Es kann natürlich sein, dass man ein Produkt hat, was typischerweise sehr tief in einem System in eine Anlage verbaut ist, wenn man weniger Schnittstellen aufweist, kaum zugänglich ist von außen und auch das Risiko für die Gesamtanlage überschaubar ist. Dann habe ich dann natürlich sehr viel weniger aufwende, weil einfach weniger Bedrohungen und Risiken bestehen. Wenn ich jetzt aber auf der anderen Seite ein Hersteller bin, der ein Consumerprodukt, das möglich günstig sein muss, ist ja deshalb wenig an Sicherheitsmaßnahmen und doppelten Boden, etc. enthält. Aber mit dem Internet verbunden ist auch noch ein Cloud-Service dazu, der da angebunden ist und dann auch damit drunter fällt. Und ich muss das alles anpassen. Ich muss vielleicht Identitäten überarbeiten oder überhaupt alle meine Produkte mit Identitäten ausstatten. Dann kann das wieder Konsequenzen für meine Produktion haben, wie letztendlich diese Produktion aussehen muss oder welche Prozesse beim Firmenwerflaschen in dieser Produktion betrachtet werden müssen, dass genau diese Dinge dann umfangreiche Arbeiten erfordern, nicht nur in der Entwicklung, sondern auch im Support in der Produktion und in angrenzenden Bereichen. Welche Strafen drohenden, wenn Hersteller nicht CAA compliant sind, nachendelte Umsetzungsfrist. Ja, die sind ähnlich wie bei der DSGVO in hohen Bereichen. Also wir sprechen dann da von 10, 15 Millionen oder auch abhängig vom Umsatz 2,5 Prozent des Umsatzes. Das heißt, der Hersteller ist ja abschreckt. Ja, Ideen dahinter. Auf der anderen Seite wird man sehen müssen, wie die juristische Praxis das sieht. Ja, als auch da sagen auch Juristen. Wir werden schauen müssen, wie dann nach dem Dezember 27 das ganze operativ aussieht. Aber ich kann mir gut vorstellen, dass einzelne Produkte analysiert werden, dass die dann auch zugerichtst verfahren führen, ähnlich wie wir das auch bei der DSGVO kennen. Aber da hat es ja, glaube ich, relativ lang gedauert, bis es da tatsächlich Usgelder oder anderweitiger Strafen gab, bei der DSGVO-Globser wird es auch so eine Art Schonfrist geben. Das kann ich nicht so gut beurteilen, ähnlicherweise. Das müssen die Juristen und vor allem auch die Behörden tun. Aber ich kann mir schon vorstellen, dass da einfach ein stärkeres Augenmarkt drauf ist, vielleicht auch aus Konkurrenzperspektive. Wenn ich jetzt zwei Jahre lang investiere, meine Produkte auch vor der Mann bringen, neue Prozesse und Schutzmaßnahmen einführen. Und mein Wettbewerber tut es nicht und denken Sie, wie krach was soll's. Eine wird schon irgendwie funktionieren, interessiert der E-Kaine sich für Sicherheit. Dass da dann vielleicht auch mal ein Hinweis passiert. Der Wettbewerber kümmern sich da überhaupt nicht drum. Das wird spannend, wie viel Kapazität auch die Behörden dafür haben, sowas zu verfolgen und wie auch die Community sich da weiterentwickelt. Ob das ganze Thema Schwachstellen melden, dann letztendlich eben auch darauf sofort einzahlt, dass bei jeder Schwachstelle nachverfolgt wird kümmern, der sich wirklich drum. und wenn nicht, dann könnte das ein prünktiver Tag. verstoß sein. Gegen den Cyber-Resilience Act vielleicht aber auch im Bereich Produkthaftung könnte das natürlich dann eine Rolle spielen. Also das wird sich zeigen, wie wir da damit umgehen. Vor allem auch unter dem Stern der Künstlerienintelligenz, die jetzt anfängt eben auch schwerwiegende Schwachstellen zu finden und zwar am laufenden Band in großer Menge und auch nicht nur die Triviaisten, sondern auch komplexere. Das wird sehr spannend werden, wie wir mit diesem Thema umgehen bzw. auch von den Kapazitäten umgehen können. Wer ist denn da die zuständige Behörde? Ist das das BSI, das Bundesamt für Sicherheit in der Informationstechnik? Genau. Es laufen in Deutschland diese Themen quasi zum BSI, wobei auch immer vor allem Cyber-Resilience Act die Iniza auf europäischer Ebene involviert ist, weil es ja durchaus sein kann, dass ein Produkt, das in Deutschland hergestellt wird oder wo Angriffe in Deutschland festgestellt werden, dass die auch auf andere europäische Länder und Unternehmen Auswirkungen haben. Deswegen wird es da eine Plattform geben, wo man das melden muss im Sommer ab Sommer 26 und da wird dann eben das BSI und die Iniza informiert. Ist das das selbe Portal, wie führt die Nes 2 Umsetzungsrichtlinie? Weil da muss ich ja ganz dramatische Sicherheitslücken auch als BSI-Mail. Da gibt es ja das BSI-Portal. Das ist noch nicht ganz final. Also zumindest soweit ich weiß, gibt es diese Plattform noch nicht final für den Cyber-Resilience Act. Aber weil natürlich jetzt an verschiedensten Stellen melde Prozesse verpflichten werden, liegt es auf der Hand, dass man mal darüber nachdenkt, kann man da Synagien schaffen, kann man ein Meldeportal für Datenschutz, für Cyber-Sicherheit, für Nes-Themen, vielleicht auch für AI-Ekt-Themen, kann man da ein gemeinsames Meldeportal schaffen. Aber mein Stand heute ist darüber gesprochen, aber final ist noch nichts. Also natürlich, wenn ich es e für mehrere Verordnungen machen kann, ist ja da schon die Synagie geschaffen. Aber wenn ich dann trotzdem den Aufwand habe, das bei vier, fünf verschiedenen Meldeportalen einzureichen und es ist ja auch nicht nur eine Meldung, beides zwei muss ich ja innerhalb von paar Monaten drei Meldungen, wenn ich sogar noch mehr machen und immer wieder Abdäten sozusagen, das zusätzlich zu der ganzen Flut, die möglicherweise an Sicherheitslücken über uns herreinbrechen könnte, dank KI, ja, wäre das sportlich auf jeden Fall. Der iserväne für automatisierung, ein großes und wichtiges Thema, das, das werden wir sehen, aber da, da wird was passieren, vor allem auch bei den, bei den großen Herstellern, wird sich das meiner Erfahrung nach als erstes etablieren, das Konzerne da möglichst automatisiert agieren und das dann eben auch im Mittelstand das ganze optimierter abgehandelt werden kann. Anders wird es nicht gehen. Man darf bei NIS 2 und Cyber-Sylents Act nicht vergessen, dass es prinzipiell zwei verschiedene Zielgruppen sind, dass eben Cyber-Sylents Act eben auf die Hersteller und die Produkte abzielt und die NIS 2 eben auf die Betreiber von kritischen Infrastrukturen oder Systemen und die können natürlich, es gibt Unternehmen, die sind beide unter beiden Regulierungen irgendwie aktiv, aber müssen nicht. Und auch eben, dass der Schwachstellenmanagement ein bisschen anderes, weil ich eben in den Infrastrukturen, mir eher über die Komponenten Gedanken mache, was die so aufweisen und bei der Entwicklung habe ich da ein bisschen mehr tiefer in Einblick, kann vielleicht auch Dinge austauschen oder bei der nächsten Update ersetzen durch weniger anfällige Teile oder vom AI bestimmten Code neu schreiben lassen, anstatt eine große unsere Veralte der Bibliothek einzubinden. Also da wird es spannend, wie sich da die Zyklen einfahren werden. Zu den Synagien zwischen NIS 2 und Cyber-Sylents Act haben wir tatsächlich schon eine Podcast vorgegenehmt. Die ging am 10. April. Da habe ich mit Sebastian Knittler, Forscher beim Cyber Intelligence Institute und mit Stefan Hessel gesprochen erst rechts an Wald für Cyber-Sicherheit bei Reuschlohr. Da war eben auch die melde Prozesse und meldewege war ein Thema, wo man auf jeden Fall zu einer Gen schaffen kann, dann eben auch das ganze Schwachstellenmanagement und eben auch meine Lieferkette mit der S-Borm. Kann ich also nur empfehlen, wer dative einsteigen möchte, gerne mal reinhören, zelingke ich auch immer Ticket und in den Schornuts. Was denkst du, sind so die größten Steupersteine bei der Umsetzung vom CAA und wie kann ich die umgehen? Gröster Steupersteine aktuell ist zu denken, dass es ein Halb der wieder weggeht oder das hat die letzten zehn Jahre niemand interessiert, wird auch den nächsten fünf Jahren niemand interessieren, mit so einer Einstellung reinzugehen oder auch was ich letztens leider auch in der Praxis gehört habe, dass ein Geschäftsführer sagt, ich will nichts von Cyber-Sicherheit hören. Genau, das, das, ich glaube, das sind Steupersteine. Das sind wir natürlich beim Thema Verantwortung, das sind auch beim Thema Faktor-Mensch-Aufführungsebene, wie wird die Systeme überhaupt betrachtet oder als wichtiger achtet und dann geht es natürlich darum, das effizient in die Prozesse zu kriegen. Also, wenn ich's verstanden habe und das so es dafür geschaffen worden, dann geht es viel darum, wie krieg ich es wiederum in die Köpfe der Entwickler bzw. überhaupt ins ganze Unternehmen, dass Cyber-Sicherheit eine wichtige Rolle spielt und das effizient hinzukriegen. Wenn jeder seinen Teil dazu beiträgt, dann gelingt auch am Schluss Security-Balli sein. Würdest du zum Abschluss mal so vielleicht die drei wichtigsten Schritte beschreiben oder so grob zusammenfassen, die Unternehmen jetzt tun sollten, um mit der ZH-Aussetzung zu starten? Ganz wichtig. Jetzt anfangen, Verantwortung definieren, wer hat den Hut auf für den Cyber-Sylenseg und dann geht es ganz oft eben schon los mit den ersten Betreuungs- und Risiko-Analösen. Dann geht es ganz weiter mit dem Schwachstellen-Management-Prozess, der muss auch von dieser verantwortlichen Stelle initiiert werden. Da müssen Strukturen geschaffen werden und wenn wir das haben, dann liegt es natürlich noch an den Entwicklungs-Teams, die Produkte so auf zu bereiten, so zu modernisieren, dass Sicherheit da mitten drinsteckt und vor allem auch bei neue Entwicklungen und neuen Produkten von Anfang an mitgedacht wird. Ja, super, für eine Zweie hat das BSI ja ganz viele Hilfspakete für öffentlich. Gibt es das für den ZH-Auss? Oder wo kann ich mich denn da informieren und um genau auch auch parallel dazu anzueignen? Es gibt an vielen Stellen quasi Hilfsangeboten, sage ich mal, unter anderem haben wir ja vor längerem schon so eine Information-Sammlung gemacht, mit kleinen Info-Nakots zu dem Thema. Wir haben jetzt aber auch ganz neu ein Projekt gestartet, nennt sich OT-Craft gefördert vom Bundeswirtschaftsministerium, wo es letztendlich darum geht, dass wir in einer Säule dieses Projekt eben einfache Hilfsmittel gerade für diese Risikoanalyse schaffen wollen, also letztendlich auch ein Web-Tool, was mir hilft, mal so einen ersten Kick-Off zu machen, dass ich mal sehe, was sind meine Top-Bedrohungen und ansonsten gibt es viele Berater, aber auch Sicherheits-Experten, die an der Stelle informieren, auch linkt in und in den Plattformen. Perfekt, ich möchte an der Stelle auch auf jeden Fall euer YouTube-Kanal empfehlen, da macht dir ja auch echt viele tolle Inhalte unter anderem zum Cyber-Resiliensekt, verlinken wir gerne auch im Artikel zum Podcast und natürlich die Gasbeiträge, die du Dominik für uns bei Security Insider schon geschrieben hast, da haben wir eine kleine Reihe zum Cyber-Resiliensekt, da ist alles nochmal mit Umsetzungsfristen, mit den Anforderungen wirklich sehr, sehr gut beschrieben. Vielen, vielen Dank für die Zusammenfassung noch mal für den Überblick, für die Tipps, die du gegeben hast. Ich glaube da dürften jetzt die Unternehmen gute Starkpunkte schon mal haben, um den ZERA und zu setzen bis Ende 2020. Vielen Dank, Dominik. Der Gaby hat spraft gemacht. Danke. [Musik]