Aktiv ausgenutzte Schwachstellen und Vorfälle an ENISA melden
- Gilt für
- Manufacturer
- Quellenangaben
- Art. 14(1)Art. 14(2)Art. 14(3)
- Produktklassen
- DefaultImportant — Class IImportant — Class IICritical
Wird festgestellt oder mitgeteilt, dass eine Schwachstelle im Produkt aktiv von Angreifern ausgenutzt wird, ist diese dringend an ENISA zu melden. Innerhalb von 24 Stunden ist eine Frühwarnung zu übermitteln, innerhalb von 72 Stunden eine vollständige Meldung und innerhalb von 14 Tagen ein Abschlussbericht mit dem Behebungsplan. Die Versäumung dieser Fristen stellt einen Regelverstoß dar. Diese Frist beginnt ab dem 11. September 2026.
Rechtstext
Artikel 14(1) der Verordnung (EU) 2024/2847 verpflichtet Hersteller, die Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall erhalten, der ihr Produkt betrifft, ENISA unverzüglich über die einheitliche Meldeplattform zu unterrichten.
Meldefristen (Art. 14(2)–(3)):
| Meldung | Frist |
|---|---|
| Frühwarnung | 24 Stunden nach Kenntniserlangung |
| Schwachstellen-/Vorfallsmeldung | 72 Stunden nach Kenntniserlangung |
| Abschlussbericht | 14 Tage nach Kenntniserlangung |
Gilt ab
11. September 2026 – die Pflichten aus Art. 14 gelten vor dem vollständigen Inkrafttreten der Verordnung (11. Dezember 2027). Der Incident-Response-Prozess ist entsprechend zu planen.
Wesentliche Anforderungen
- 24-Stunden-Frühwarnung – Signal an ENISA, dass ein schwerwiegendes Ereignis im Gange ist
- 72-Stunden-Meldung – Details zur Schwachstelle oder zum Vorfall
- 14-Tage-Abschlussbericht – Behebungsschritte, Grundursache, Zeitplan
- Einheitliche ENISA-Meldeplattform – sobald die Plattform in Betrieb ist, ist diese zu verwenden
- Betroffene Nutzer informieren – Art. 14(8) verlangt unverzügliche Benachrichtigung betroffener Nutzer
Datenfeld-Referenz
Die FAQ der ENISA Single Reporting Platform (Punkt 16, "What are the data fields to be filled in the reporting template?") legt genau fest, welche Felder in den Phasen 24 Stunden, 72 Stunden und Abschlussbericht jeweils verpflichtend, optional, übernommen oder automatisch ausgefüllt sind – sowohl für Schwachstellen- als auch für Vorfallmeldungen. Das Werkzeug ENISA-Meldehilfe enthält eine vollständige, auf dieser FAQ basierende Feld-für-Feld-Referenztabelle.
Nachweise, die Sie möglicherweise benötigen
- Dokumentation des Incident-Response-/PSIRT-Prozesses
- Richtlinie zur Schwachstellenoffenlegung
- Einreichungsaufzeichnungen der ENISA-Meldeplattform
- Interne Zeiterfassung (Zeitpunkt der Kenntniserlangung und der Meldung)