Die Antworten sind nicht perfekt, aber die Fragen sind gut: Was müssen Nutzer über Security wissen? Und wer zahlt für Security by Design? — Zum Thema Security by Design gibt es mal wieder Neuigkeiten. Die US-amerikanische CISA (Cybersecurity & Infrastructure Security Agency) hat noch ein Papier dazu herausgebracht, und die halbe Welt macht mit: NSA, FBI und Security-Behörden aus 15 Ländern, inklusive dem deutschen BSI:

Standardisation for the Cyber Resilience Act (CRA) has begun — It’s understandably the most frequent question I get about the Cyber Resilience Act (CRA): “Do we know yet what cybersecurity standards the products will have to meet?” For a long time, the answer was “no” — but now we are getting closer. In fact, the CRA’s drafting process took a step…

Die Standardisierung für den Cyber Resilience Act (CRA) hat begonnen — Es ist verständlicherweise die häufigste Frage, die ich zum Cyber Resilience Acts (CRA) bekomme: “Weiß man schon, welche Cybersecurity-Normen die Produkte werden erfüllen müssen?” Lange war die Antwort “nein” — aber nun kommen wir ihr näher. Der Entstehungsprozess des CRA ist nämlich diesen Monat einen von der Öffentlichkeit kaum wahrgenommenen, aber…

RCE, NIS2, CRA, Kritis-DachG, NIS2UmsuCG: Den Überblick behalten im Regulierungs-Jahr 2023 — Momentan jagt ein neues Cybersecurity-Gesetz das nächste. Im Mai war es das NIS2-Umsetzungsgesetz (NIS2UmsuCG), das als Referentenentwurf veröffentlicht (oder besser: durchgestochen) wurde. Im Juli ist es das Kritis-Dachgesetz. Welches Gesetz setzt eigentlich welche EU-Richtlinie um? Wen betrifft das? Und was ist eigentlich schon verabschiedet und was nur ein Entwurf? …

Here’s what we learned (so far) — We’ve been working on improving security by design for the automation industry in our German state-funded research project “IDEAS” since 2021. Now we’ve tried out the “security by design decisions” software tool that we’ve designed for the first time. More precisely: We tested the alpha version of our software tool…

We need to decide which security measures NOT to take — I have good news for you: There are two kinds of security decisions – and so far, I bet you only pay attention to one of them. Why is this good news? …

And why it’s our job to name them — Cybersecurity, even security for critical infrastructures, was on TV! And not just anywhere, but in Jan Böhmermann’s late night show. The ZDF Magazin Royale of Oct 7, 2022 is dedicated to IT security from minute 9, hashtag #cyberclown, and as a result, the president of Germany’s Federal Office for Information…

Und warum es unser Job ist, sie zu benennen — Cybersecurity, ja gar Security für kritische Infrastrukturen, war im Fernsehen! Und zwar nicht irgendwo, sondern bei Jan Böhmermann. Das ZDF Magazin Royale vom 07.10.22 widmet sich ab Minute 9 der IT-Sicherheit, Hashtag #cyberclown — und als Resultat ist Arne Schönbohm, Präsident des Bundesamts für Sicherheit in der Informationstechnik, seinen Job…

Security to become part of the CE product marking — One year ago, on September 15, 2021, EU Commission President Ursula von der Leyen announced the Cyber Resilience Act (CRA) in her State of the Union address. Exactly one year later, on September 15, 2022, the European Commission has now done the groundwork and published a draft for the CRA. …