CRA-Meldefristen im Detail: 24 Stunden, 72 Stunden, 14 Tage oder ein Monat

Alle Vorderfristen knüpfen an einen einzigen Zeitpunkt an, nämlich den, zu dem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle oder dem schweren Vorfall erlangt hat. Nicht ab dem Zeitpunkt, zu dem die Untersuchung abgeschlossen ist, und nicht ab dem, zu dem die Geschäftsführung informiert wurde.

Das hat eine Folge, die in der Praxis unterschätzt wird: Wer feststellt, dass sein Ticketsystem den ersten Hinweis schon zwölf Stunden früher enthielt, hat zwölf Stunden weniger. Deshalb gehört der Kenntniszeitpunkt so genau dokumentiert, wie er sich rekonstruieren lässt, und zwar samt Quelle.

Beim Schwachstellenstrang läuft die Frist ab dem Zeitpunkt, zu dem eine Korrektur- oder Minderungsmaßnahme verfügbar ist. Solange kein Update existiert, läuft sie nicht. Wer lange braucht, hat für diese Stufe länger Zeit, muss die 24 und 72 Stunden aber trotzdem gehalten haben.

Beim Vorfallstrang läuft die Frist ab der abgesetzten 72-Stunden-Meldung. Sie startet also durch eine eigene Handlung, und sie startet auch dann, wenn die Untersuchung noch mitten im Gang ist.

Artikel 14 nennt Stundenfristen und knüpft sie an die Kenntniserlangung. Eine Regel, die auf den nächsten Werktag verschiebt, enthält er nicht. Wer darauf baut, geht ein Risiko ein, das sich mit einer Rufbereitschaft und einer benannten Vertretung vermeiden lässt.

Praktisch heißt das: Der Fall, auf den man sich vorbereitet, ist Freitag 22:40 Uhr. Wer nur den Dienstagvormittag durchgespielt hat, hat nichts durchgespielt.

Neben den drei Stufen kann das koordinierende CSIRT jederzeit einen Bericht über den Stand der Dinge anfordern. Dafür gibt es weder eine feste Frist noch einen festen Zeitpunkt. Genau deshalb muss der eigene Prozess ihn vorsehen: Wer die Anfrage bekommt und dann erst überlegt, wer antwortet und was bisher gemeldet wurde, hat ein Problem, das die Fallakte löst.