EU-CRA: prEN 40000-1-3 – Umgang mit Schwachstellen
Sytance · Aktualisiert
prEN 40000-1-3 ist der horizontale Normenentwurf für den Umgang mit Schwachstellen. Er unterstützt Anhang I Teil II, indem er die Entgegennahme, Prüfung, Behebung und Veröffentlichung von Schwachstellen sowie die Arbeiten nach der Veröffentlichung in einen strukturierten Herstellerprozess überführt.
Entwurfsstatus
Der hier behandelte Text ist ein Entwurf einer Europäischen Norm, der dem CEN zur Umfrage vorgelegt wurde. Er bietet eine Grundlage für die Planung des Umgangs mit Schwachstellen; der Entwurf selbst begründet keine Konformitätsvermutung nach dem CRA.
Eintrag 15 des M/606 fordert europäische Normen zum Umgang mit Schwachstellen bei Produkten mit digitalen Elementen. Die Frist für diesen Eintrag gemäß M/606 ist der 30. August 2026.
Verhältnis zu Anhang I Teil II
Anhang I Teil II betrifft den Prozess des Herstellers. Er umfasst das Erkennen und Dokumentieren von Schwachstellen, die Transparenz zu Komponenten, Abhilfemaßnahmen, Tests, Offenlegung, Verteilung von Updates und Nutzerinformationen, sobald ein Sicherheitsupdate verfügbar ist.
prEN 40000-1-3 ist auf diesen Prozess ausgerichtet. Die Norm entscheidet nicht, ob eine Meldepflicht nach Artikel 14 ausgelöst wird. Meldungen nach Artikel 14 sind eine gesonderte rechtliche Pflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Produktsicherheit beeinträchtigen.
Prozess zum Umgang mit Schwachstellen
Der Entwurf verwendet ein Lebenszyklusmodell. Der Prozess beginnt, bevor ein Bericht eingeht, da der Hersteller Richtlinien, Kontaktwege, Informationen zu Komponenten und Update-Mechanismen vorbereiten muss.
Richtlinien, Offenlegungswege, sichere Kommunikation, Produktidentifizierung, Komponenteninformationen, Testplanung und Verteilung von Updates werden vorbereitet.
Der Hersteller nimmt Meldungen entgegen und überwacht interne und externe Quellen auf Schwachstellen, die das Produkt oder seine Komponenten betreffen.
Der Hersteller prüft, ob die Meldung zutrifft, ob das Produkt betroffen ist und wie schwerwiegend die Schwachstelle ist.
Der Hersteller entscheidet über die Abhilfe, entwickelt die Korrektur oder Minderungsmaßnahme und testet sie vor der Veröffentlichung.
Der Hersteller veröffentlicht das Sicherheitsupdate, stellt klare Informationen bereit, überwacht die Wirksamkeit und verbessert den Prozess.
Grundbausteine
Der Entwurf baut auf bestehenden Normen zum Umgang mit Schwachstellen auf. Er greift Konzepte der Offenlegung von Schwachstellen, des Schwachstellenmanagements und der koordinierten Offenlegung durch mehrere Beteiligte auf und passt sie anschließend an Produkte mit digitalen Elementen und das CRA-Modell der Unterstützungszeiträume an.
Offenlegungsrichtlinie
Ein öffentlicher Meldeweg zeigt Forschern und Nutzern, wie sie eine potenzielle Schwachstelle melden können.
Transparenz zu Komponenten
Informationen zu Software- und Hardwarekomponenten unterstützen die Auswirkungsanalyse, wenn eine Schwachstelle entdeckt wird.
Veröffentlichung von Updates
Eine sichere Verteilung von Updates und klare Sicherheitshinweise helfen Nutzern, Korrekturen zu installieren und weitere erforderliche Maßnahmen zu ergreifen.
Zusätzliche risikobasierte Kontrollen
Der Entwurf enthält Anforderungserweiterungen. Dies sind zusätzliche Maßnahmen, die gelten, wenn die Produktrisikobewertung einen höheren Sorgfaltsgrad erfordert.
Bei Produkten mit höherem Risiko können stärkere Kontrollen dafür erforderlich sein, wie Informationen zu Schwachstellen mit Meldenden, Koordinatoren, vorgelagerten Lieferanten oder betroffenen Nutzern ausgetauscht werden.
Der Detaillierungsgrad zu Komponenten kann erhöht werden, wenn das Produktrisiko eine schnellere oder präzisere Analyse der Auswirkungen einer Schwachstelle erfordert.
Hashes können dabei helfen, genau die vorhandene Version einer Softwarekomponente zu identifizieren, wenn Name und Versionsangabe nicht ausreichen.
Strukturierte Sicherheitshinweise können Kunden und nachgelagerten Betreibern helfen, Informationen zu Schwachstellen in großem Umfang zu verarbeiten.
Abgrenzung zu Meldepflichten
Der Umgang mit Schwachstellen ist der fortlaufende Produktprozess. Meldungen nach Artikel 14 sind eine gesonderte Benachrichtigungspflicht, wenn der rechtliche Auslöser erfüllt ist. Eine Schwachstelle kann im Rahmen des Prozesses behandelt werden, ohne nach Artikel 14 meldepflichtig zu sein; eine meldepflichtige Schwachstelle muss dennoch im Rahmen des Prozesses behoben und kommuniziert werden.
- prEN 40000-1-3 beschreibt, wie der Prozess zum Umgang mit Schwachstellen organisiert wird.
- Artikel 14 legt die Meldebedingungen für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle fest, die die Produktsicherheit beeinträchtigen.
- Der Unterstützungszeitraum bestimmt, wie lange der Umgang mit Schwachstellen fortgesetzt werden muss.
Der Auslöser für Meldungen nach Artikel 14 wird erläutert unter Meldung von Schwachstellen.