Pipeline für die CRA-Meldepflicht
Ab dem 11. September 2026 müssen Softwarehersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden. Eine Pipeline am Beispiel eines TypeScript-Monorepos zeigt, wie die Automatisierung von SBOM über Sigstore-Signaturen bis zur ENISA-Meldung heute aussieht und wo das Tooling der Verordnung hinterherläuft.
Moderne Webanwendungen auf Basis von Node.js beziehen ihre Funktion aus einigen Hundert bis weit über tausend npm-Paketen. Bewusst ausgewählt hat das Entwicklungsteam davon nur einen Bruchteil, der überwiegende Teil kommt über Abhängigkeiten automatisch dazu. Jedes dieser Pakete darf bei der Installation eigene Skripte ausführen, bei npm bis Version 11 standardmäßig und ungefragt. Diese Kombination aus Komplexität und automatischer Codeausführung macht die npm-Registry seit Jahren zum bevorzugten Angriffsziel.
Für Softwarehersteller greift ab dem 11. September 2026 die Meldepflicht des Cyber Resilience Act (CRA). Er verlangt, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle im eigenen Produkt binnen 24 Stunden zu melden. Der Anwendungsbereich umfasst Produkte mit digitalen Elementen, die Anbieter im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitstellen. Software ist eingeschlossen, der Herstellersitz spielt keine Rolle.
