Können Sie innerhalb von 24 Stunden melden?

Sind wir wirklich betroffen?

Das hängt an zwei Dingen: ob Ihr Produkt digitale Elemente enthält und direkt oder indirekt mit einem Netz oder einem anderen Gerät verbunden ist – und in welcher Rolle Sie es auf den Markt bringen. Hersteller, Importeur und Händler haben unterschiedliche Pflichten, und die Zuordnung ist seltener eindeutig, als sie aussieht. Genau diese Klärung je Produktlinie ist der Inhalt des Betroffenheits-Checks.

Wir haben keine SBOM. Geht das trotzdem?

Ja. Der Sprint setzt keine vorhandene SBOM voraus – wenn Sie eine hätten, wären Sie nicht die Zielgruppe. Wir erfassen Komponenten als SBOM dort, wo sich das aus Ihrer Build- oder Beschaffungskette erzeugen lässt, und sonst als strukturierte Liste. Für die Meldefähigkeit zählt, dass Sie eine Komponente einem Produkt und einem Versionsstand zuordnen können. Nicht das Dateiformat.

Was ist mit Produkten von 2015, deren Buildumgebung es nicht mehr gibt?

Das ist der Normalfall, nicht die Ausnahme. Wo sich keine SBOM mehr erzeugen lässt, arbeiten wir mit dem, was dokumentiert ist: Stücklisten, Beschaffungsunterlagen, Firmware-Stände und Angaben Ihrer Lieferanten. Das Ergebnis ist gröber als bei einem aktuellen Produkt. Es beantwortet aber die Frage, die im Ernstfall gestellt wird: Ist dieses Produkt betroffen, ja oder nein?

Läuft das remote oder bei uns im Haus?

Beides. Von den zehn Arbeitstagen sind zwei vor Ort: der Auftakt mit der Rollenklärung und der Tag der Live-Übung. Beide funktionieren aus unserer Sicht nicht per Videokonferenz – im ersten Fall, weil die entscheidenden Informationen im Flurgespräch fallen, im zweiten, weil eine Übung nur zählt, wenn sie unter echten Bedingungen läuft. Die übrigen acht Tage sind remote.

Wer trägt am Ende die Verantwortung für die Meldeentscheidung?

Sie. Die Pflichten aus dem CRA treffen den Hersteller, und daran ändert kein Dienstleister etwas. Wir liefern die Grundlage, damit diese Entscheidung schnell, nachvollziehbar und von einer benannten Person getroffen werden kann – die Entscheidung selbst bleibt bei Ihnen.

Ist das eine Rechtsberatung?

Nein. Wir erbringen technische und organisatorische Unterstützung: Inventar, Prozesse, Zuständigkeiten, Vorlagen und die Übung. Eine rechtliche Bewertung Ihres Einzelfalls und verbindliche Auskünfte zur Auslegung des CRA gehören nicht dazu; dafür sind Rechtsanwältinnen und Rechtsanwälte zuständig. Wo diese Grenze im Projekt erreicht wird, sagen wir es Ihnen.

Wir geben außerdem keine Zusagen zu Bußgeldfreiheit oder zum Verhalten von Behörden ab. Was wir zusagen, ist ein geprobter Ablauf und die Unterlagen dazu.

Was passiert nach den zehn Tagen?

Sie haben die Unterlagen und den geprobten Ablauf im Haus und arbeiten damit ohne uns weiter. Dauerhaft anfallen wird die Beobachtung neuer Schwachstellen in Ihren Komponenten – dafür gibt es das Komponenten-Monitoring ab 890 € netto im Monat. Ein Angebot, keine Voraussetzung.

Wie läuft das mit NDA und Vertraulichkeit?

Über ein eigenes Dokument, nicht über eine Klausel im Angebot. Die Vertraulichkeitsvereinbarung füllen wir vor Auftragsbeginn aus – bevor wir die ersten Produktunterlagen zu sehen bekommen. Sie ist auf eine hohe Geheimhaltungsstufe ausgelegt. Wenn Ihr Haus ein eigenes NDA verwendet, unterschreiben wir ebenso Ihres.

Das hat einen konkreten Grund: In diesem Projekt laufen genau die Informationen zusammen, die ein Angreifer bräuchte – welches Produkt welche Komponente in welchem Versionsstand enthält und wo Sie noch nicht nachziehen konnten. Diese Unterlagen sind so lange schützenswert, wie die Geräte im Feld stehen.