Almanya'da güvenlik politikası genellikle halat çekme yarışına benzer. Sivil toplum kuruluşları açıklamayı, şeffaflığı ve devletin hackleme yetkileri konusunda temkinliliği savunur; sanayi birlikleri hukuki belirlilik ve sorumluluğun sınırlanmasını ister. heise'nin haberine göre zafiyet yönetimi konusunda iki taraf artık aynı talebi dile getiriyor.
Zafiyet yönetimi, bilinen bir kusurun gerçekten düzeltilip düzeltilmediğine karar veren gösterişsiz disiplindir: Kime bildirilecek, ne kadar hızlı, yamayı kim uygulamakla yükümlü, bir ürün ne kadar süre desteklenecek ve bir üretici sessiz kalırsa ne olacak? Gerçek dünyadaki sızıntıların büyük bölümünün arkasında yeni sıfır günler değil, buradaki başarısızlıklar var; çünkü saldırganlar ezici çoğunlukla aylar ya da yıllar önce açıklanmış ve yamalanmış açıkları kullanıyor.
Yakınlaşma iki yönden de mantıklı. Sivil toplum için zorunlu ve zamanında yamalama ile net açıklama yükümlülükleri tüketici koruması demek: Evdeki yamasız bir cihaz gözetim ve dolandırıcılık riskidir. Bitkom üyeleri içinse aynı kurallar, piyasadaki geri kalanları — güncelleme yolu olmayan ucuz donanımı — bugün dışsallaştırdığı maliyeti üstlenmeye zorlamanın yolu; yani sorumlu üreticilerin onlarla rekabet etmek zorunda kalmaması.
Avrupa'daki zemin, aktif olarak istismar edilen zafiyetlere ilişkin bildirim yükümlülükleri 11 Eylül 2026'dan itibaren başlayan ve ana yükümlülükleri 11 Aralık 2027'de yürürlüğe girecek Siber Dayanıklılık Tüzüğü ile BSI'nin yetkilerine dair ulusal tartışmalar. Tam taleplerin ne olduğunu heise aktarıyor; önemli olan, 'tasarımdan güvenlik' ilkesinin artık hem sanayiden hem sivil toplumdan teşvik değil uygulama talep etmesi.
