Aktiv ausgenutzte Schwachstellen und Vorfälle an ENISA melden

Einfache Sprache

Wird festgestellt oder mitgeteilt, dass eine Schwachstelle im Produkt aktiv von Angreifern ausgenutzt wird, ist diese dringend an ENISA zu melden. Innerhalb von 24 Stunden ist eine Frühwarnung zu übermitteln, innerhalb von 72 Stunden eine vollständige Meldung und innerhalb von 14 Tagen ein Abschlussbericht mit dem Behebungsplan. Die Versäumung dieser Fristen stellt einen Regelverstoß dar. Diese Frist beginnt ab dem 11. September 2026.

Rechtstext

Artikel 14(1) der Verordnung (EU) 2024/2847 verpflichtet Hersteller, die Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall erhalten, der ihr Produkt betrifft, ENISA unverzüglich über die einheitliche Meldeplattform zu unterrichten.

Meldefristen (Art. 14(2)–(3)):

Meldung	Frist
Frühwarnung	24 Stunden nach Kenntniserlangung
Schwachstellen-/Vorfallsmeldung	72 Stunden nach Kenntniserlangung
Abschlussbericht	14 Tage nach Kenntniserlangung

Gilt ab

11. September 2026 – die Pflichten aus Art. 14 gelten vor dem vollständigen Inkrafttreten der Verordnung (11. Dezember 2027). Der Incident-Response-Prozess ist entsprechend zu planen.

Wesentliche Anforderungen

24-Stunden-Frühwarnung – Signal an ENISA, dass ein schwerwiegendes Ereignis im Gange ist
72-Stunden-Meldung – Details zur Schwachstelle oder zum Vorfall
14-Tage-Abschlussbericht – Behebungsschritte, Grundursache, Zeitplan
Einheitliche ENISA-Meldeplattform – sobald die Plattform in Betrieb ist, ist diese zu verwenden
Betroffene Nutzer informieren – Art. 14(8) verlangt unverzügliche Benachrichtigung betroffener Nutzer

Nachweise, die Sie möglicherweise benötigen

Dokumentation des Incident-Response-/PSIRT-Prozesses
Richtlinie zur Schwachstellenoffenlegung
Einreichungsaufzeichnungen der ENISA-Meldeplattform
Interne Zeiterfassung (Zeitpunkt der Kenntniserlangung und der Meldung)