Dieser Beitrag ist ein Entwurf und wird noch fachlich geprüft.
Bevor ein Gap-Abgleich sinnvoll ist, müssen Produktgrenzen, Komponenten, Verantwortliche und vorhandene Nachweise klar sein. Diese Fragen helfen Produktteams bei der Vorbereitung.
Produkt und Scope
- Welche Produkte und Varianten werden in der EU bereitgestellt?
- Welche Firmware-, Software- und Cloud-Komponenten gehören jeweils dazu?
- Gibt es eine erste Einschätzung zur Produktkategorie (Standard, wichtig, kritisch)?
Entwicklung
- Gibt es eine dokumentierte Risikobewertung je Produkt?
- Wie werden Security-Anforderungen erfasst und getestet?
- Welche automatisierten Prüfungen laufen in der Pipeline?
Komponenten und Schwachstellen
- Wird für jedes Release eine SBOM erzeugt?
- Wie und wie oft werden Komponenten auf bekannte Schwachstellen geprüft?
- Gibt es eine Kontaktstelle und eine Policy für Schwachstellenmeldungen?
- Ist geklärt, wer innerhalb von 24 Stunden über eine Meldung an die Behörden entscheidet?
Updates und Support
- Ist ein Supportzeitraum je Produkt festgelegt und begründet?
- Wie werden Sicherheitsupdates ausgeliefert – und wie erfahren Kunden davon?
Nachweise
- Wo liegen Architektur, Risikobewertung und Testnachweise – und sind sie aktuell?
- Lässt sich für eine Anforderung zeigen, welche Maßnahme und welcher Test sie abdecken?
Was daraus folgt
Jede Frage, die heute nicht eindeutig beantwortet werden kann, ist ein Kandidat für die Gap-Matrix. Ein belastbarer Maßnahmenplan braucht technisch nachvollziehbare Artefakte, benannte Verantwortliche, definierte Review-Zeitpunkte und eine ehrliche Dokumentation offener Fragen.
Quellen
Dieser Beitrag ist eine technische Einordnung und ersetzt keine Rechtsberatung. Maßgeblich sind die Primärquellen.