Detaillierte Schwachstellenmeldung innerhalb von 72 Stunden an ENISA übermitteln
- Gilt für
- Manufacturer
- Quellenangaben
- Art. 14(2)Art. 14(5)
- Produktklassen
- DefaultImportant — Class IImportant — Class IICritical
Einfache Sprache
Nach der 24-Stunden-Frühwarnung an ENISA sind innerhalb von 72 Stunden ab der ersten Kenntniserlangung eine detailliertere Folgemeldung zu übermitteln. Diese muss Produktdetails, Informationen zur Schwachstelle sowie die ergriffenen oder geplanten Sicherheitsmaßnahmen enthalten. Die Frist beginnt mit der ersten Kenntnis der aktiven Ausnutzung – nicht erst nach vollständiger Bestätigung aller Details.
Rechtstext
Artikel 14(2) der Verordnung (EU) 2024/2847 verpflichtet Hersteller, unverzüglich und in jedem Fall spätestens 72 Stunden nach Kenntniserlangung einer aktiv ausgenutzten Schwachstelle ENISA Folgendes zu melden:
- Die Schwachstelle
- Die betroffenen Produkte
- Schweregrad und Auswirkungen der Schwachstelle
- Die ergriffenen oder geplanten Korrektur- oder Minderungsmaßnahmen
- Ob die Schwachstelle bereits öffentlich bekannt gemacht wurde
Artikel 14(5) legt fest, dass Meldungen über die einheitliche ENISA- Meldeplattform eingereicht werden, die die Informationen an die zuständigen nationalen CSIRT(s) weiterleitet.
Gültigkeit ab
Diese Pflicht gilt ab 11. September 2026.
Erforderlicher Inhalt der Meldung
Die 72-Stunden-Meldung muss enthalten:
- Produktidentifikation – Name, Version, Herstellerangaben
- Schwachstellenbeschreibung – technische Details einschließlich CVE (sofern vergeben)
- CVSS-Score – Schweregradbeurteilung
- Nachweis der aktiven Ausnutzung – Grundlage für die Annahme, dass die Schwachstelle aktiv ausgenutzt wird
- Betroffene Nutzergruppe – Umfang der Auswirkungen
- Minderungsmaßnahmen – bereits ergriffene Schritte zur Risikoeindämmung
- Behebungsplan – geplanter Patch-Zeitplan und Bereitstellungsmechanismus
- Status der Nutzerbenachrichtigung – ob Nutzer bereits informiert wurden
Verhältnis zur 24-Stunden-Frühwarnung
| Schritt | Frist | Erforderlicher Inhalt |
|---|---|---|
| Frühwarnung (OBL-ART14-01) | 24 Std. | Bestätigung einer aktiv ausgenutzten Schwachstelle |
| Detaillierte Meldung | 72 Std. | Technische Details, Schweregrad, Korrekturmaßnahmen |
| Abschlussbericht (OBL-ART14-03) | 14 Tage | Vollständige Analyse und abschließende Behebungsdetails |
Nachweise, die Sie möglicherweise benötigen
- Zeitgestempelte Einreichungsaufzeichnungen der ENISA-Meldeplattform
- Interne Zeiterfassung zum Zeitpunkt der Kenntniserlangung
- Kopie der eingereichten Meldung (ggf. redaktionell bereinigt)
- Aufzeichnungen, die belegen, dass die Meldung innerhalb von 72 Stunden nach Kenntniserlangung übermittelt wurde