Schwachstellenmeldung (72-Stunden-Meldung)
Binnen 72 Stunden ab Kenntnis ist die eigentliche Meldung fällig, gerechnet ab demselben Zeitpunkt wie die Frühwarnung. Sie beschreibt das Produkt, die Schwachstelle, die Ausnutzung und die ergriffenen Gegenmaßnahmen.
Schwachstellenmeldung (Vulnerability Notification) ist die zweite der drei Meldestufen nach Artikel 14. Sie ist binnen 72 Stunden ab Kenntnis fällig und enthält allgemeine Angaben zum Produkt, die Art der Schwachstelle und der Ausnutzung sowie ergriffene Abhilfemaßnahmen und Maßnahmen, die Nutzer ergreifen können.
Definition in der Verordnung
Nach Artikel 14 Absatz 2 Buchstabe b der Verordnung (EU) 2024/2847 übermittelt der Hersteller "unverzüglich, in jedem Fall aber innerhalb von 72 Stunden" nach Kenntnis eine Schwachstellenmeldung. Sie enthält, soweit verfügbar, allgemeine Informationen über das betroffene Produkt, die allgemeine Art der Ausnutzung und der Schwachstelle, alle ergriffenen Korrektur- oder Risikominderungsmaßnahmen und Abhilfemaßnahmen, die Nutzer ergreifen können, sowie gegebenenfalls eine Angabe, wie sensibel der Hersteller die gemeldeten Informationen einschätzt. Für schwerwiegende Vorfälle regelt Artikel 14 Absatz 4 Buchstabe b die entsprechende Vorfallmeldung mit einer Erstbewertung. Nach Artikel 14 Absatz 6 kann das CSIRT danach einen Zwischenbericht anfordern.
Was das für Hersteller bedeutet
Die 72 Stunden laufen ab Kenntnis, parallel zur 24-Stunden-Frist, nicht im Anschluss an die Frühwarnung. Der Zähler auf der Meldeplattform der ENISA zeigt derzeit eine Fälligkeit 48 Stunden nach Absenden der Frühwarnung an; wer früh warnt, sieht dort eine zu frühe Fälligkeit, wer spät warnt, eine zu späte. Maßgeblich ist das Gesetz, nicht der Zähler. Auf der Plattform ist die 72-Stunden-Meldung ein Reiter derselben Meldung; Pflichtfelder sind allgemeine Informationen und der Zeitpunkt des Auftretens. Nur in dieser Stufe kann der Hersteller nach Artikel 16 Absatz 2 besondere außergewöhnliche Umstände geltend machen, damit das CSIRT die Weitergabe der Meldung an andere Staaten verzögert.
Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordern