Ratgeber - Der Ablauf
Wie läuft eine CRA-Meldung von der Kenntnis bis zum Abschlussbericht ab?
Drei Stufen, zwei Stränge, ein Kenntniszeitpunkt
Der Ablauf ist für beide Meldeanlässe gleich aufgebaut, unterscheidet sich aber im Detail. Wer den Ablauf einmal durchlaufen hat, verwechselt die beiden Stränge nicht mehr: Die Schwachstelle endet mit einer Korrektur, der Vorfall mit einem Bericht.
Die Kurzfassung
Drei Stufen, gestartet von einem einzigen Zeitpunkt
Eine CRA-Meldung beginnt mit der Kenntnis: Der Hersteller erlangt Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall. Ab diesem Zeitpunkt laufen drei Stufen. Die Frühwarnung geht binnen 24 Stunden hinaus, mit den Mindestangaben, die in so kurzer Zeit erreichbar sind. Die Meldung folgt binnen 72 Stunden und trägt die Substanz. Der Abschlussbericht schließt den Vorgang, mit unterschiedlichem Startpunkt je Meldestrang. Eingereicht wird alles über die Meldeplattform der ENISA, die die Meldung an das zuständige CSIRT weiterleitet.
Die Übersicht
Die drei Stufen im Überblick, für beide Meldestränge
| Stufe | Frist | Schwachstellenstrang | Vorfallstrang |
|---|---|---|---|
| Frühwarnung | 24 Stunden ab Kenntnis | Angabe, dass eine aktiv ausgenutzte Schwachstelle vorliegt, und soweit bekannt die betroffenen Mitgliedstaaten | Mindestens die Angabe, ob der Vorfall im Verdacht steht, auf rechtswidrigem oder böswilligem Handeln zu beruhen |
| Meldung | 72 Stunden ab Kenntnis | Produktangaben, Art des Exploits und der Schwachstelle, ergriffene Maßnahmen | Art des Vorfalls, erste Bewertung, ergriffene Maßnahmen |
| Abschlussbericht | je Strang verschieden | spätestens 14 Tage, nachdem die Korrektur verfügbar ist | binnen eines Monats nach der 72-Stunden-Meldung |
Die beiden Vorderfristen laufen nicht nacheinander, sondern ab demselben Kenntniszeitpunkt. Wer die Frühwarnung nach 20 Stunden absetzt, hat für die zweite Stufe nicht 72, sondern noch 52 Stunden. Die Fristberechnung mit eigenen Daten übernimmt der Fristenrechner.
GrundlageArt. 14 Abs. 2 Buchst. a CRAArt. 14 Abs. 2 Buchst. b CRAArt. 14 Abs. 4 Buchst. a CRAArt. 14 Abs. 4 Buchst. b CRA
Die Frühwarnung ist eine Warnung, kein Bericht. Wer in 24 Stunden fast nichts weiß, meldet trotzdem.
Was die Stufen nicht abdecken
Neben der Meldung laufen zwei Pflichten weiter
Zwischenbericht und Nutzerinformation
Das koordinierende CSIRT kann jederzeit einen Zwischenbericht über den Stand der Dinge anfordern. Für ihn gibt es keine feste Frist, der eigene Prozess muss ihn deshalb vorsehen. Parallel unterrichtet der Hersteller die betroffenen Nutzer, gegebenenfalls alle Nutzer, über die Schwachstelle oder den Vorfall und nötigenfalls über Maßnahmen zur Risikominderung. Die Verordnung nennt ein strukturiertes, maschinenlesbares Format als bevorzugten Weg.
GrundlageArt. 14 Abs. 6 CRAArt. 14 Abs. 8 CRA
Die Vorbereitung
Wer den Ablauf vorbereitet, meldet in der ersten Stunde statt in der ersten Woche
Was vor dem Meldefall steht
Der Ablauf gelingt im Ernstfall nur, wenn drei Dinge vorherstehen: das zuständige CSIRT ist ermittelt, der Zugang zur Meldeplattform ist eingerichtet, und die Rollen im Unternehmen sind verteilt, wer informiert, wer entscheidet, wer einreicht. Die Notfallkarte für die erste Stunde legt diese Schritte in der Reihenfolge fest, in der sie unter Zeitdruck ablaufen.
Vertiefung