Abschlussbericht zur Schwachstelle innerhalb von 14 Tagen an ENISA übermitteln

Artikel 14(3) der Verordnung (EU) 2024/2847 verpflichtet Hersteller, spätestens 14 Tage nach Kenntniserlangung einer aktiv ausgenutzten Schwachstelle einen Abschlussbericht an ENISA zu übermitteln, der enthält:

• Eine vollständige Beschreibung der Schwachstelle einschließlich Schweregrad und Auswirkungen
• Gegebenenfalls: die beteiligten Bedrohungsakteure (sofern bekannt und kommunizierbar)
• Informationen zu den ergriffenen Korrektur- oder Minderungsmaßnahmen
• Ob die Schwachstelle öffentlich bekannt gemacht wurde
• Den zugewiesenen CVE (oder Begründung, warum kein CVE zugewiesen wurde)

Artikel 14(5) legt fest, dass der Bericht über die einheitliche ENISA- Meldeplattform eingereicht wird.

Diese Pflicht gilt ab 11. September 2026.

1. Vollständige Schwachstellenbeschreibung – umfassende technische Analyse
2. Grundursachenanalyse – Ursprung der Schwachstelle
3. CVSS-Score – endgültig, ggf. nach vollständiger Analyse neu bewertet
4. Betroffene Versionen – alle betroffenen Produktversionen und -varianten
5. CVE-Identifier – von einer CNA vergebene CVE-Nummer oder Begründung bei fehlender CVE-Vergabe
6. Durchgeführte Behebung – Versionsnummer des Updates, Veröffentlichungsdatum, Bereitstellungsmechanismus
7. Nutzerbenachrichtigung – Beschreibung der Nutzerinformation und des Zeitplans
8. Status der öffentlichen Bekanntmachung – ob eine Sicherheitsmitteilung veröffentlicht wurde und wo
9. Informationen zum Bedrohungsakteur – sofern bekannt, ob ein bestimmter Akteur die Schwachstelle ausnutzt

Die vollständige Feld-für-Feld-Referenztabelle der ENISA-Meldehilfe (basierend auf Punkt 16 der ENISA Single Reporting Platform FAQ) zeigt genau, welche Felder im Abschlussbericht verpflichtend sind.

• Zeitgestempelter Abschlussberichteingang der ENISA-Plattform
• CVE-Zuweisungsaufzeichnung
• Veröffentlichte Sicherheitsmitteilung
• Aufzeichnungen zur Nutzerbenachrichtigung
• Internes Vorfall-Postmortem oder Grundursachenanalysedokument