Richtlinie
BOD 26-02 – Edge-Geräte ohne Support
Amtlicher Titel: BOD 26-02: Minderung des Risikos durch Edge-Geräte ohne Herstellersupport
In Kraft seit 5. Februar 2026Eintrag am 2. November 2026 anhand der amtlichen Quelle geprüft · Methodik
BOD-26-02 · Binding Operational Directive 26-02 · EOS Edge Device List · end of support · BOD26 · BOD 26 · BOD 26-02 · BOD26-02
Binding operational directive issued by CISA on 5 February 2026, in coordination with the Office of Management and Budget, against campaigns that exploit edge devices no longer supported by their vendors to pivot into federal networks. It covers devices on the network boundary that are reachable from the internet, such as load balancers, firewalls, routers, switches and wireless access points, that the vendor or CISA considers end of support. Agencies must immediately update end-of-support software on devices that are still supported, inventory within three months the devices on the list published by CISA, decommission within 12 months those already out of support and within 18 months all those identified, replacing them with supported equipment. Within 24 months they must have a continuous discovery process and decommission each device before its end-of-support date. The directive implements OMB Circular A-130, which requires unsupported components to be phased out as rapidly as possible.
Amtliche Quelle: https://www.cisa.gov/news-events/directives/bod-26-02-mitigating-risk-end-support-edge-devices
- Amtliche Nummer
- BOD 26-02
- Datum der Annahme
- Inkrafttreten
Zusammenfassung
Verbindliche operative Richtlinie, die die CISA am 5. Februar 2026 in Abstimmung mit dem Office of Management and Budget erlassen hat, gegen Kampagnen, die nicht mehr vom Hersteller unterstützte Edge-Geräte als Einstieg in Bundesnetze nutzen. Sie betrifft aus dem Internet erreichbare Geräte an der Netzgrenze wie Load Balancer, Firewalls, Router, Switches und WLAN-Zugangspunkte, die der Hersteller oder die CISA als nicht mehr unterstützt einstuft. Die Behörden müssen sofort nicht mehr unterstützte Software auf noch unterstützten Geräten aktualisieren, innerhalb von drei Monaten die Geräte auf der von der CISA veröffentlichten Liste erfassen, innerhalb von 12 Monaten die bereits nicht mehr unterstützten und innerhalb von 18 Monaten alle ermittelten Geräte außer Betrieb nehmen und durch unterstützte ersetzen. Innerhalb von 24 Monaten müssen sie einen laufenden Erkennungsprozess einrichten und jedes Gerät vor Supportende außer Betrieb nehmen. Die Richtlinie setzt das OMB-Rundschreiben A-130 um, wonach nicht unterstützte Komponenten so schnell wie möglich auszumustern sind.
Für wen es gilt
Zivile Behörden der Bundesexekutive, einschließlich der von Dritten in ihrem Auftrag gehosteten Systeme. Ausgenommen sind Geräte der Betriebstechnik (OT), FedRAMP-autorisierte Cloud-Dienste, die das OMB-Memorandum M-24-15 vom Anwendungsbereich ausnimmt, Systeme der nationalen Sicherheit sowie bestimmte Systeme des Kriegsministeriums und der Nachrichtendienste.
Wichtige Termine
- Innerhalb von 3 Monaten: Bestandsaufnahme der Geräte auf der CISA-Liste der Edge-Geräte ohne Support
- Innerhalb von 12 Monaten: Außerbetriebnahme der gelisteten Geräte ohne Support und Bestandsaufnahme der Geräte, deren Support in den folgenden 12 Monaten endet
- Innerhalb von 15 Monaten: Bericht der CISA über die Fortschritte der Behörden an den Minister für Innere Sicherheit, das OMB und den National Cyber Director
- Innerhalb von 18 Monaten: Außerbetriebnahme aller ermittelten Edge-Geräte ohne Support
- Innerhalb von 24 Monaten: laufender Prozess zur Erkennung von Edge-Geräten und Außerbetriebnahme bis zum Supportende
Informationen
Details des Eintrags
Zitiervorschlag
APA
Cybersecurity and Infrastructure Security Agency (CISA). (2026). BOD 26-02: Mitigating Risk From End-of-Support Edge Devices (BOD 26-02). https://www.cisa.gov/news-events/directives/bod-26-02-mitigating-risk-end-support-edge-devices
Chicago
Cybersecurity and Infrastructure Security Agency (CISA). "BOD 26-02: Mitigating Risk From End-of-Support Edge Devices." 5 February 2026. https://www.cisa.gov/news-events/directives/bod-26-02-mitigating-risk-end-support-edge-devices.
BibTeX
@misc{us_bod_26_02_end_of_support_edge_devices_2026,
author = {{Cybersecurity and Infrastructure Security Agency (CISA)}},
title = {{BOD 26-02: Mitigating Risk From End-of-Support Edge Devices}},
year = {2026},
note = {BOD 26-02},
url = {https://www.cisa.gov/news-events/directives/bod-26-02-mitigating-risk-end-support-edge-devices},
urldate = {2026-11-02}
}Metadaten und Zusammenfassung: CC BY 4.0 · JSON