Drei Fragen, die Sie intern klären sollten. Nicht drei Aufgaben.

Die Verordnung richtet sich an den Hersteller, also an das Unternehmen. Intern braucht es trotzdem eine Person, die im Ernstfall entscheidet und meldet, und eine zweite, die sie vertritt. In den meisten Betrieben ist das dieselbe Person, die die Konformitätserklärung unterschreibt.

So prüfen Sie es: Fragen Sie nach einem Namen. Wenn die Antwort eine Abteilung ist und keine Person, gibt es die Zuständigkeit noch nicht.

Wird eine Schwachstelle in einem Ihrer Produkte aktiv ausgenutzt, verlangt Artikel 14 Absatz 1 binnen 24 Stunden eine Frühwarnung. Dazu gehört nach Absatz 2 die Angabe, welche Produkte betroffen sind. In der Praxis heisst das: welche ausgelieferte Maschine, bei welchem Betreiber, in welchem Land.

So prüfen Sie es: Lassen Sie die Frage einmal durchspielen, an einer echten Komponente. Die Antwort "das müssten wir zusammensuchen" ist die häufigste, und sie ist eine Antwort.

Diese Pflichten erzeugen keinen Alltagsdruck. Es ruft keine Behörde an, und nichts steht still. Zwei Stellen kommen dafür in Frage, an denen es zuerst auffallen kann: der Lieferantenfragebogen eines Kunden und eine Ausschreibung, die einen Nachweis verlangt.

So prüfen Sie es: Fragen Sie Ihren Vertrieb, ob in den letzten Monaten Fragen zur Cyberresilienzverordnung in Ausschreibungen oder Fragebögen aufgetaucht sind. Dort merkt man es als Erstes.