Eine CRA-Meldung nach Artikel 14 vorbereiten, bevor Sie die ENISA-Plattform öffnen

Zwei der drei Fristen beginnen gleichzeitig: mit der Kenntniserlangung. Die dritte beginnt später und je nach Vorgangsart mit einem anderen Ereignis. Halten Sie den Verordnungstext und die aktuellen ENISA-Hinweise bereit. Maßgeblich für die Pflicht sind diese Quellen, nicht eine Checkliste.

Die Fristberechnung hängt von einem Zeitpunkt ab. Erfassen Sie ihn, sobald eine für das Handeln zuständige Person die Informationen erhält: Wer hat was erfahren, aus welcher Quelle und was war zu diesem Zeitpunkt genau bekannt? Dokumentieren Sie dies auch dann, wenn sich der Vorgang später als nicht meldepflichtig erweist. Die Aufzeichnung hält die Begründung fest.

In Attesly beginnt ein Vorgang nach Artikel 14 mit diesem Kenntniszeitpunkt. Daraus werden die Fristen für Frühwarnung und Meldung berechnet. Die Frist für den Abschlussbericht erscheint, sobald eine Korrekturmaßnahme verfügbar ist (ausgenutzte Schwachstelle) oder die Meldung abgegeben wurde (schwerwiegender Vorfall).

• Vorgangsverantwortung — führt die Zeitleiste, sammelt die Angaben und sorgt dafür, dass jede Meldestufe rechtzeitig abgegeben wird.
• Technische Leitung — beschreibt die Art des Angriffs oder Vorfalls, betroffene Produkte und Versionen, verfügbare Abhilfemaßnahmen und die Fehlerbehebung.
• Produkt-Compliance — klärt betroffene Produkte und Mitgliedstaaten sowie das koordinierende CSIRT.
• Geschäftsleitung — gibt die einzureichenden Angaben frei, einschließlich eines Antrags auf Aufschub der Weiterverbreitung.
• Kommunikation — legt fest, was den Nutzern wann mitgeteilt wird.

Benennen Sie für jede Rolle eine Vertretung. Eine 24-Stunden-Frist wartet nicht auf das Ende eines Urlaubs.

• Das betroffene Produkt und die Mitgliedstaaten, in denen es bereitgestellt wird.
• Das koordinierende CSIRT für den Vorgang.
• Bei einem schwerwiegenden Vorfall: ob der Verdacht besteht, dass rechtswidrige oder böswillige Handlungen die Ursache sind.
• Für die Meldung: allgemeine Art des Angriffs und der Schwachstelle beziehungsweise Art des Vorfalls mit einer ersten Bewertung; ergriffene Korrektur- oder Abhilfemaßnahmen; Maßnahmen, die Nutzer ergreifen können; Einschätzung der Vertraulichkeit der Angaben.
• Falls erforderlich: Antrag an das CSIRT auf Aufschub der Weiterverbreitung nach Artikel 16 Absatz 2 mit den cybersicherheitsbezogenen Gründen.
• Nach jeder Einreichung: Versandzeitpunkt und Referenz der Plattform.

Artikel 14 Absätze 2 und 4 legt die Inhalte jeder Meldestufe fest. Gleichen Sie diese Liste mit dem aktuellen Verordnungstext ab, bevor Sie sich darauf stützen.

Fiktives Beispiel. Northwind Robotics und der NW-200 Edge Controller sind der erfundene Demohersteller und das Demoprodukt in Attesly.

1. Montag, 09:40 Uhr: Über die öffentliche Meldeseite von Northwind meldet ein Sicherheitsforscher, dass eine Schwachstelle in einer Komponente der NW-200-Firmware ausgenutzt wird. Die Produktsicherheitsleitung bestätigt die Meldung und eröffnet einen Vorgang nach Artikel 14 mit dem Kenntniszeitpunkt 09:40 Uhr.
2. Der Vorgang zeigt Dienstag, 09:40 Uhr, als Frist für die Frühwarnung und Donnerstag, 09:40 Uhr, als Frist für die Meldung. Die Frist für den Abschlussbericht läuft noch nicht.
3. Das Team erfasst die Mitgliedstaaten, in denen der NW-200 verkauft wird, und das koordinierende CSIRT. Es überträgt die vorbereitete Meldevorlage in die ENISA-Plattform. Die Frühwarnung wird am Montagnachmittag abgegeben; Zeitpunkt und Plattformreferenz werden dokumentiert.
4. Am Mittwoch sind die Angaben für die Meldung vollständig: Art des Angriffs, ergriffene Maßnahmen, Handlungsempfehlungen für Nutzer und Vertraulichkeit. Die Meldung wird auf demselben Weg eingereicht und dokumentiert.
5. In der folgenden Woche ist ein Firmwareupdate verfügbar. Mit dem Erfassen dieses Datums beginnt die Frist für den Abschlussbericht: 14 Tage.

Der Vorgang zeigt jederzeit, was wann bekannt war, wer welche Schritte unternommen hat und welche Frist als Nächstes ansteht.

• Attesly unterstützt: Vorgänge mit Kenntniszeitpunkt und berechneten Fristen führen, Angaben je Meldestufe erfassen, eine kopierfertige ENISA-Meldevorlage vorbereiten, Aktivitäten protokollieren und — wenn Mitglieder dies aktivieren — an fällige Vorgangsschritte erinnern.
• Attesly übernimmt nicht: Meldungen an ENISA oder ein CSIRT übermitteln, über eine Meldepflicht entscheiden, Produkte zertifizieren oder Rechtsberatung leisten.

Informieren Sie sich über Tarife und Preise, vereinbaren Sie ein Gespräch oder lesen Sie, wie Sie Produktnachweise und SBOMs zwischen Vorfällen aktuell halten.

Die Meldung ist eine Phase der CRA-Checkliste.