5. Produktion, Betrieb und Instandhaltung angriffssicherer Systeme

Die Verantwortung für ein Produkt endet nach allgemein gültiger Rechtsauffassung (vgl. hierzu die Rechtsprechung des Bundesgerichtshofes im so genannten Honda-Fall) nicht mit dem Zeitpunkt des Inverkehrbringens. Es ist insofern von den Herstellern ein ganzheitlicher Prozess zu definieren, bei dem täglich gemeldete IT-sicherheitsrelevante Vorkommnisse bewertet werden, entsprechende Korrekturmaßnahmen geplant werden, und ihre Realisierung in Entsprechung mit dem zu dem Zeitpunkt gültigen Stand der Technik stringent nachverfolgt wird. Dies ist insofern für die Cybersecurity relevant, als dass nach dem Start der Produktion (SOP, Start of Production) die Robustheit eines softwarebasierten technischen Systems gegen unberechtigte Zugriffe sukzessive abnimmt, da die Fähigkeiten der Angreifer und der Aufwand, bzw. die Kosten für einen erfolgreichen Angriff abnehmen (beispielsweise durch günstigere und leistungsfähigere Computer, Wissensfortschritt im technischen und mathematischen Bereich).