Strang A - Artikel 14 Abs. 1 und 2
Aktiv ausgenutzte Schwachstelle melden
Strang A nach Artikel 14 Abs. 2
Der Auslöser ist nicht die Schwere der Lücke, sondern der Nachweis, dass sie benutzt wird. Eine kritische Schwachstelle, die niemand ausnutzt, löst diesen Strang nicht aus. Eine mittelschwere, die ausgenutzt wird, schon.
Aktualisiert am:
Der Anlass
Was löst die Meldepflicht aus?
Die Ausnutzung, nicht der Schweregrad
Meldepflichtig ist jede aktiv ausgenutzte Schwachstelle eines Produkts mit digitalen Elementen. Aktiv ausgenutzt heißt: Es gibt Hinweise darauf, dass sie in freier Wildbahn benutzt wird. Ein Machbarkeitsnachweis in einem Fachbeitrag ist noch keine Ausnutzung, ein beobachteter Angriff auf ein Kundensystem sehr wohl.
Der Punkt, der die Einschätzung schwer macht: Der Hersteller sieht die Kundensysteme meist nicht. Die Kenntnis kommt oft von außen, durch einen Kunden, einen Sicherheitsforscher oder ein CSIRT. Ab diesem Hinweis läuft die Uhr.
Ausschlaggebend ist die Ausnutzung, nicht der Schweregrad. Ein hoher CVSS-Wert ohne beobachtete Ausnutzung löst diesen Strang nicht aus.
Der Ablauf
Welche Angaben verlangt jede Meldestufe?
Die Aufzählung als Checkliste
Die Verordnung zählt für jede Stufe auf, was hineingehört. Die Aufzählung ist so konkret, dass sie sich als Checkliste benutzen lässt, und genau so ist sie hier aufbereitet.
Frühwarnung binnen 24 Stunden nach Kenntniserlangung
Die Frühwarnung ist die erste kurze Warnung an die ENISA, die Agentur der Europäischen Union für Cybersicherheit, und an das zuständige CSIRT, das nationale Team für IT-Sicherheitsvorfälle. Sie teilt mit, dass eine aktiv ausgenutzte Schwachstelle vorliegt, und nennt, soweit bekannt, die Mitgliedstaaten, in denen das Produkt bereitgestellt wurde. Angaben, die Sie noch nicht kennen, lassen Sie weg und reichen sie spätestens mit der Schwachstellenmeldung nach, die binnen 72 Stunden fällig ist.
| Angabe | Was hineingehört | Pflicht |
|---|---|---|
| Produktbezeichnung | Die Bezeichnung, unter der das Produkt am Markt bekannt ist, einschließlich Hersteller. | ja |
| Betroffene Versionen | So genau wie möglich, mit Ober- und Untergrenze. Bekannt nicht betroffene Versionen gehören ebenfalls hierher, weil sie den Nutzern die Suche abnehmen. | ja |
| Mitgliedstaaten, in denen das Produkt bereitgestellt wurde | Soweit bekannt. Die Verordnung verlangt keine Gewissheit, sondern die Angabe des Bekannten. Wo Sie es nicht wissen, schreiben Sie das hin. | soweit bekannt |
| Liegt eine aktiv ausgenutzte Schwachstelle vor? | Der Kern der Frühwarnung. Auch ein begründeter Verdacht ist eine Angabe, er muss nur als solcher benannt sein. | ja |
| Woher stammt die Kenntnis? | Eigene Erkennung, Meldung eines Kunden, Hinweis eines Sicherheitsforschers, Veröffentlichung Dritter, Behördenhinweis. | soweit bekannt |
| Erste Einschätzung in wenigen Sätzen | Was ist bekannt, was ist noch offen. Der Satz zu dem, was offen ist, ist der wichtigere von beiden. | soweit bekannt |
Schwachstellenmeldung binnen 72 Stunden nach Kenntniserlangung
Die Schwachstellenmeldung ergänzt die Frühwarnung um die Art der Schwachstelle und des Exploits, also des Vorgehens, mit dem die Schwachstelle ausgenutzt wird. Dazu kommen die Korrektur- und Risikominderungsmaßnahmen, die Sie ergriffen haben, und die Maßnahmen, die Nutzer selbst ergreifen können. Artikel 14 Abs. 2 Buchst. b zählt diese Angaben so konkret auf, dass sie sich Punkt für Punkt abarbeiten lassen.
| Angabe | Was hineingehört | Pflicht |
|---|---|---|
| Produktbezeichnung | Die Bezeichnung, unter der das Produkt am Markt bekannt ist, einschließlich Hersteller. | ja |
| Betroffene Versionen | So genau wie möglich, mit Ober- und Untergrenze. Bekannt nicht betroffene Versionen gehören ebenfalls hierher, weil sie den Nutzern die Suche abnehmen. | ja |
| Mitgliedstaaten, in denen das Produkt bereitgestellt wurde | Soweit bekannt. Die Verordnung verlangt keine Gewissheit, sondern die Angabe des Bekannten. Wo Sie es nicht wissen, schreiben Sie das hin. | soweit bekannt |
| Art der Schwachstelle | Technische Einordnung, gern mit CWE-Kennung. Wenn eine CVE-Kennung vergeben ist, gehört sie hierher. | ja |
| Art des Exploits | Wie wird die Schwachstelle ausgenutzt, was ist dafür nötig, welche Vorbedingungen bestehen. | ja |
| Ergriffene Korrektur- und Risikominderungsmaßnahmen | Was Sie selbst getan haben, mit Zeitpunkt. | ja |
| Maßnahmen, die Nutzer ergreifen können | Der praktisch wichtigste Block. Er wandert später fast wörtlich in die Nutzerinformation nach Artikel 14 Abs. 8. | ja |
| Einschätzung zur Sensibilität der Angaben | Welche Teile dieser Meldung dürfen nicht weiterverbreitet werden, solange kein Update verfügbar ist, und warum. | ja |
Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme
Die 14 Tage für den Abschlussbericht beginnen erst, wenn eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist, zum Beispiel ein Sicherheitsupdate. Die Kenntniserlangung setzt diese Frist nicht in Gang. Dauert die Korrektur länger, verschiebt sich nur der Termin für den Abschlussbericht, denn Frühwarnung und Schwachstellenmeldung bleiben 24 und 72 Stunden nach der Kenntniserlangung fällig.
| Angabe | Was hineingehört | Pflicht |
|---|---|---|
| Produktbezeichnung | Die Bezeichnung, unter der das Produkt am Markt bekannt ist, einschließlich Hersteller. | ja |
| Betroffene Versionen | So genau wie möglich, mit Ober- und Untergrenze. Bekannt nicht betroffene Versionen gehören ebenfalls hierher, weil sie den Nutzern die Suche abnehmen. | ja |
| Mitgliedstaaten, in denen das Produkt bereitgestellt wurde | Soweit bekannt. Die Verordnung verlangt keine Gewissheit, sondern die Angabe des Bekannten. Wo Sie es nicht wissen, schreiben Sie das hin. | soweit bekannt |
| Beschreibung der Schwachstelle | Vollständig, einschließlich Schweregrad und Auswirkung. | ja |
| Angaben zum ausnutzenden Akteur, soweit bekannt | Die Verordnung verlangt hier ausdrücklich nur das Bekannte. Nicht bekannt ist eine zulässige und in der Praxis häufige Antwort. | soweit bekannt |
| Einzelheiten zum Sicherheitsupdate | Version, Verfügbarkeit, Verteilweg, was das Update genau ändert. | ja |
GrundlageArt. 14 Abs. 2 Buchst. a CRAArt. 14 Abs. 2 Buchst. b CRAArt. 14 Abs. 2 Buchst. c CRA
Die Falle
Die 14 Tage laufen ab Verfügbarkeit der Abhilfe, nicht ab Kenntnis
Der Abschlussbericht ist spätestens 14 Tage nachdem eine Korrektur- oder Minderungsmaßnahme verfügbar ist fällig. Solange kein Update und kein Behelf existiert, läuft diese Frist nicht.
Das ist keine Einladung zum Trödeln: Die 24 und die 72 Stunden gelten unverändert, und die Verordnung verlangt an anderer Stelle, Schwachstellen unverzüglich zu behandeln. Es heißt nur, dass der Abschlussbericht an das technische Ereignis gekoppelt ist und nicht an den Kalender.
Daneben
Ihre Nutzer erfahren nichts durch die Meldung: das ist eine eigene Pflicht
Die Meldung geht an CSIRT und ENISA, nicht an die Nutzer. Deren Unterrichtung ist eine eigene Pflicht nach Artikel 14 Abs. 8, und sie läuft parallel. Unterbleibt sie, dürfen die CSIRTs die Nutzer selbst unterrichten.
GrundlageArt. 14 Abs. 8 CRA
Nachgefragt
Häufige Fragen zur aktiv ausgenutzten Schwachstelle
- Was bedeutet aktiv ausgenutzt?
- Dass es Hinweise darauf gibt, dass die Schwachstelle in freier Wildbahn benutzt wird. Ein veröffentlichter Machbarkeitsnachweis allein ist noch keine Ausnutzung. Ein beobachteter Angriff, ein kompromittiertes Kundensystem oder ein Hinweis eines CSIRT sind es sehr wohl.
- Muss eine CVE-Kennung vorliegen, bevor gemeldet wird?
- Nein. Gemeldet wird ab Kenntnis, und die Vergabe einer CVE-Kennung dauert oft länger als 72 Stunden. Liegt eine Kennung vor, gehört sie in die Meldung; liegt keine vor, wird das so vermerkt.
- Muss gemeldet werden, wenn schon ein Update bereitsteht?
- Ja. Die Meldepflicht knüpft an die aktive Ausnutzung an, nicht an das Fehlen einer Abhilfe. Ein bereits verfügbares Update verkürzt sogar die Frist für den Abschlussbericht, denn die 14 Tage laufen ab dem Zeitpunkt der Verfügbarkeit.
- Was ist, wenn die Schwachstelle in einer zugelieferten Komponente steckt?
- Meldepflichtig bleibt der Hersteller des Produkts. Die Verordnung verlangt von ihm ohnehin die Sorgfalt bei integrierten Komponenten. Wer eine Bibliothek einbaut, übernimmt für sein Produkt die Verantwortung, auch wenn er den Fehler nicht verursacht hat.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 14 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 14 Abs. 1 CRA
"Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA."
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 2 Buchst. a CRA
"unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 2 Buchst. b CRA
"unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 2 Buchst. c CRA
"spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, einen Abschlussbericht"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Was ein Verstoß kostet
bis 15.000.000 EUR
oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Dieser Rahmen gilt für Verstöße gegen die Meldepflichten des Artikels 14. Für andere Verstöße gegen die Verordnung sieht Artikel 64 abgestufte, niedrigere Rahmen vor. Die Mitgliedstaaten legen die Sanktionen national fest.
- Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt. Von der Meldepflicht selbst befreit sie das nicht.
- Die praktisch schärfere Folge steht in Artikel 14 Abs. 8: Unterrichtet der Hersteller seine Nutzer nicht rechtzeitig, dürfen die CSIRTs das selbst tun. Was das bedeutet
Grundlage: Art. 64 CRA
Diese Felder gleich mit dem Meldeassistenten ausfüllen
Der Meldeassistent führt durch genau diese Felder, rechnet die Fristen dazu und erzeugt am Ende die Fallakte mit Freigabeblock. Er rechnet im Browser, ohne dass Angaben übertragen werden.
Sechs Abschnitte im Browser. Am Ende steht die Fallakte als PDF mit Prüfsumme.