Meldung von Schwachstellen nach der EU-Cyberresilienz-Verordnung

Wann eine Meldung erforderlich ist

Auslöser sind weder die Produktkategorie noch der CVSS-Wert noch die bloße Existenz einer Schwachstelle. Artikel 14 fragt, ob der Hersteller Kenntnis von einem meldepflichtigen Ereignis bei einem Produkt mit digitalen Elementen erlangt hat.

Andere Schwachstellen, Cyberbedrohungen, Beinahevorfälle und Vorfälle mit geringeren Auswirkungen können im Rahmen der Schwachstellenbehandlung oder einer freiwilligen Meldung weiterhin relevant sein. Sie lösen nicht automatisch eine verpflichtende Meldung nach Artikel 14 aus.

Aktiv ausgenutzte Schwachstelle

‚aktiv ausgenutzte Schwachstelle‘ eine Schwachstelle, für die verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie ohne Erlaubnis des Eigentümers des Systems in einem System ausgenutzt hat;

Verordnung (EU) 2024/2847, Artikel 3 Nummer 42

Die Definition umfasst drei Elemente. Es muss eine Schwachstelle geben, verlässliche Nachweise für eine Ausnutzung und eine böswillige Ausnutzung ohne Erlaubnis. Ein theoretischer Angriffsweg oder ein Scannerergebnis reicht für sich allein nicht aus.

Eine Zero-Day-Schwachstelle kann meldepflichtig sein, aber nur, wenn der Hersteller verlässliche Nachweise dafür hat, dass ein böswilliger Akteur sie ausgenutzt hat. Eine gutgläubige Bug-Bounty-Meldung oder ein Laborbefund ohne Nachweise einer vorherigen böswilligen Ausnutzung fällt nicht unter den verpflichtenden Auslöser von Artikel 14; freiwillige Meldungen können dennoch möglich sein.

Eine verlässliche Kenntnisnahme kann auf verschiedenen Wegen erfolgen:

• Ein Kunde oder Partner meldet eine Kompromittierung und legt Nachweise vor, dass die Schwachstelle im Produkt ausgenutzt wurde;
• eine Regierungsstelle, ein Sicherheitsforscher oder ein Bericht zur Bedrohungsaufklärung weist auf eine Ausnutzung im Produkt hin;
• die eigene Telemetrie, Überwachung oder Untersuchung des Herstellers liefert Nachweise für eine Ausnutzung.

Die Schwachstelle muss außerdem im Produkt mit digitalen Elementen enthalten sein. Hat eine integrierte Komponente eine Schwachstelle, die im Produkt des Herstellers nicht ausgenutzt werden kann, wird sie nicht allein deshalb zu einer aktiv ausgenutzten Schwachstelle dieses Produkts, weil die Komponente andernorts betroffen ist.

Schwerwiegender Vorfall, der die Produktsicherheit beeinträchtigt

Auch ein schwerwiegender Vorfall bezieht sich auf das Produkt. Ein allgemeiner IT-Vorfall im Unternehmen reicht für sich genommen nicht aus. Der Vorfall muss die Sicherheit des Produkts mit digitalen Elementen beeinträchtigen.

Nach Artikel 14 gilt ein Vorfall als schwerwiegend, wenn mindestens einer der folgenden Fälle vorliegt:

• Er beeinträchtigt oder kann die Fähigkeit des Produkts beeinträchtigen, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen;
• er hat dazu geführt oder kann dazu führen, dass Schadcode in das Produkt oder in die Informations- und Netzwerksysteme eines Nutzers eingebracht oder dort ausgeführt wird.

24 Stunden, 72 Stunden und der Abschlussbericht

Artikel 14 sieht gestufte Meldungen vor. Die erste Meldung ist eine Frühwarnung und muss noch keine vollständige technische Akte enthalten. In den späteren Stufen kommen die Informationen hinzu, die während der Untersuchung und Eindämmung durch den Hersteller verfügbar werden.

1. Frühwarnung: unverzüglich und spätestens innerhalb von 24 Stunden, nachdem der Hersteller Kenntnis erlangt hat.
2. Hauptmeldung: unverzüglich und spätestens innerhalb von 72 Stunden nach Kenntniserlangung, sofern die einschlägigen Informationen nicht bereits übermittelt wurden.
3. Abschlussbericht zu einer aktiv ausgenutzten Schwachstelle: spätestens 14 Tage, nachdem eine Korrektur- oder Gegenmaßnahme verfügbar ist.
4. Abschlussbericht zu einem schwerwiegenden Vorfall: innerhalb eines Monats nach der 72-Stunden-Meldung des Vorfalls.

Die Fristen von 24 und 72 Stunden beginnen mit der Kenntnisnahme des meldepflichtigen Ereignisses. Es handelt sich nicht um Wartefristen: Die Meldungen müssen unverzüglich erfolgen. Die Fristen für Abschlussberichte beginnen zu unterschiedlichen Zeitpunkten: mit der Verfügbarkeit einer Korrektur- oder Gegenmaßnahme bei einer Schwachstelle und mit der Übermittlung der Vorfallmeldung bei einem schwerwiegenden Vorfall.

Single Reporting Platform

Für die Meldungen nach Artikel 14 Absätze 1 und 3 sowie Artikel 15 Absätze 1 und 2 und zur Vereinfachung der Meldepflichten der Hersteller wird von der ENISA eine zentrale Meldeplattform eingerichtet. ENISA betreibt und pflegt diese zentrale Meldeplattform im laufenden Betrieb. Ihre Architektur ermöglicht es Mitgliedstaaten und ENISA, eigene elektronische Meldeendpunkte einzurichten.

Verordnung (EU) 2024/2847, Artikel 16 Absatz 1

Meldungen nach Artikel 14 werden über die Single Reporting Platform eingereicht. ENISA hat ihre erste Betriebsfähigkeit am 11. September 2026 aufgenommen; die Plattform steht nun für verpflichtende Meldungen zur Verfügung.

Meldebereitschaft

Für fristgerechte Meldungen benötigen Hersteller einen Meldeweg über die SRP, ein koordinierendes CSIRT, Informationen zu den Mitgliedstaaten, in denen das Produkt bereitgestellt wird, und zugängliche interne Produktdaten. Die Seite zur Meldebereitschaft erläutert diese Vorbereitungen.

Lesen Sie Meldebereitschaft nach Artikel 14 nach Klärung der Auslöser.

Abgrenzungsfälle