Angriffe auf Software-Lieferketten wie bei SolarWinds, XZ-Utils oder npm zeigen: Vertrauen allein reicht nicht mehr. CRA und NIS2 fordern erstmals, dass Software ihre Sicherheit technisch belegt – nachvollziehbar und überprüfbar. Hersteller müssen sichere Entwicklung attestieren, Betreiber diese Nachweise validieren. Sicherheit wird zur überprüfbaren Eigenschaft.