Aufzeichnungen zum Umgang mit Schwachstellen nach dem CRA

Pflicht zum Prozess

Hersteller stellen ab dem Inverkehrbringen eines Produkts mit digitalen Elementen und während des Supportzeitraums sicher, dass Schwachstellen dieses Produkts einschließlich seiner Komponenten wirksam und im Einklang mit den in Anhang I Teil II festgelegten grundlegenden Cybersicherheitsanforderungen behandelt werden.

Verordnung (EU) 2024/2847, Artikel 13 Absatz 8

Die Pflicht beginnt mit dem Inverkehrbringen des Produkts und gilt während des Supportzeitraums fort. Sie umfasst das Produkt und seine Komponenten.

Wichtige Arten von Aufzeichnungen

Beispiel: von einem Komponentenhinweis bis zum Abschluss

Betrachten wir eine fiktive Schwachstelle in einem Parser eines Firmware-Releases für eine Steuerung. Die folgenden sechs Aufzeichnungen bilden beispielhaft eine Fallhistorie. Sie zeigen, wie ein Team Eingang, Produktauswirkung und Behebung verknüpfen kann; die Abfolge ist kein von der CRA vorgeschriebenes Formular.

1. Eingang: Erfassen Sie, wann die Meldung einging, aus welcher Quelle sie stammte, welche Komponente und Schwachstellenkennung betroffen waren und welche Informationen zu diesem Zeitpunkt vorlagen. Bewahren Sie die ursprüngliche Meldung auf.
2. Produktauswirkung: Ermitteln Sie mithilfe der SBOM und der Buildaufzeichnungen mögliche betroffene Releases. Bestätigen Sie für jede unterstützte Konfiguration, ob ein Angreifer den betroffenen Parser erreichen kann; dokumentieren Sie sowohl die Nachweise als auch verbleibende Unsicherheiten.
3. Meldeentscheidung: Prüfen Sie Artikel 14 unverzüglich, wenn Hinweise auf eine aktive Ausnutzung oder einen schwerwiegenden Sicherheitsvorfall beim Produkt vorliegen. Dokumentieren Sie die Kenntnisnahmezeitpunkte und übermitteln Sie erforderliche Meldungen innerhalb der geltenden Fristen, während die technische Untersuchung weiterläuft.
4. Behandlung: Bewerten Sie das Produktrisiko, weisen Sie eine Behebung oder Gegenmaßnahme zu und stimmen Sie sich gegebenenfalls mit dem Komponentenverantwortlichen ab. Halten Sie die gewählte Maßnahme und ihre Begründung fest.
5. Verifizierung und Release: Testen Sie den korrigierten Parser und die betroffenen Produktfunktionen, bewahren Sie den getesteten Build auf und verknüpfen Sie ihn mit dem Sicherheitsupdate, dem Verteilungsnachweis und den Nutzerhinweisen.
6. Abschluss und Nachverfolgung: Dokumentieren Sie das verifizierte Ergebnis, das aktualisierte Komponentenverzeichnis, die Nutzerkommunikation und die Offenlegung. Lassen Sie jede betroffene unterstützte Version, für die keine wirksame Abhilfe besteht, für weitere Maßnahmen offen.

Die Fallaufzeichnung sollte zwischen dem Abschluss der internen Fehlerbehebung, der Übermittlung erforderlicher Meldungen und der Bereitstellung oder Installation des Updates unterscheiden. Eine Fehlerbehebung kann beispielsweise veröffentlicht sein, während einige betroffene Nutzer sie noch installieren müssen und eine Nachverfolgung erforderlich ist.

Bezug zu Anhang VII

Anhang VII verlangt, dass die technische Dokumentation die erforderlichen Informationen und Spezifikationen zu den Prozessen der Schwachstellenbehandlung enthält, darunter die SBOM, die Richtlinie zur koordinierten Offenlegung von Schwachstellen, die Kontaktstelle für Meldungen und die sichere Verteilung von Updates.

• Aufzeichnungen, die den Verlauf von Schwachstellen im Produkt belegen;
• Aufzeichnungen, die erläutern, wie Schwachstellen priorisiert und behoben werden;
• Aufzeichnungen zum Nachweis der Updateverteilung und Nutzerkommunikation;
• Prüf- und Bewertungsberichte als Nachweis für die Konformitätsbewertung.

Der Entwurf prEN 40000-1-3 wird auf dieser Seite ausführlicher erläutert.