Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden
- Gilt für
- Open-source steward
- Quellenangaben
- Art. 24(2)
- Produktklassen
- DefaultImportant — Class IImportant — Class IICritical
Einfache Sprache
Wird bekannt, dass eine Schwachstelle in der eigenen OSS in freier Wildbahn aktiv ausgenutzt wird oder ein schwerwiegender Sicherheitsvorfall die Software betroffen hat, ist der zuständige CSIRT-Koordinator unverzüglich zu benachrichtigen. Dies ist eine leichtere Pflicht als das 24-Stunden-Meldungsfenster für Hersteller nach Art. 14, aber „unverzüglich" bedeutet dennoch zügig – Tage, nicht Wochen. Das CSIRT koordiniert die Reaktion und unterstützt bei der Schwachstellenoffenlegung.
Rechtstext
Artikel 24(2) der Verordnung (EU) 2024/2847 bestimmt, dass Betreiber von Open-Source-Software das gemäß Artikel 12(1) der Richtlinie (EU) 2022/2555 als Koordinator benannte CSIRT unverzüglich und innerhalb der in Durchführungsrechtsakten festgelegten Frist über Folgendes informieren müssen:
- jede aktiv ausgenutzte Schwachstelle in den von ihnen verwalteten Open-Source-Software-Komponenten;
- jeden schwerwiegenden Vorfall, der sich auf die Sicherheit dieser Open-Source-Software-Komponenten auswirkt.
Nach der Meldung behandelt das CSIRT die gemeldeten Informationen vertraulich und unterstützt den Betreiber der Open-Source-Software bei der Offenlegung der Schwachstelle gemäß den Praktiken zur koordinierten Schwachstellenoffenlegung.
Wesentliche Anforderungen
- Auslöser: aktive Ausnutzung – Pflicht entsteht, wenn bekannt wird, dass eine Schwachstelle in der eigenen Software in freier Wildbahn aktiv ausgenutzt wird
- Auslöser: schwerwiegender Vorfall – Pflicht entsteht auch bei schwerwiegenden Sicherheitsvorfällen, die die Sicherheitseigenschaften der Software beeinträchtigen
- Empfänger: CSIRT-Koordinator – das nach NIS-2-Richtlinie Art. 12 als Koordinator benannte nationale CSIRT informieren, nicht direkt ENISA
- Unverzüglich – zügige Meldung; der genaue Zeitrahmen wird durch Durchführungsrechtsakt festgelegt
- Vertraulichkeit – das CSIRT behandelt die gemeldeten Informationen vertraulich und unterstützt die koordinierte Offenlegung
Nachweise, die Sie möglicherweise benötigen
- An CSIRT-Koordinator übermittelte Meldung (Datum, Inhalt, Methode)
- Interner Prozess zur Überwachung und Erkennung aktiver Ausnutzung
- Vorfallsprotokoll mit Zeitpunkt der Kenntniserlangung und ergriffenen Maßnahmen
- Zeitplan der koordinierten Offenlegung