Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden

Wird bekannt, dass eine Schwachstelle in der eigenen OSS in freier Wildbahn aktiv ausgenutzt wird oder ein schwerwiegender Sicherheitsvorfall die Software betroffen hat, ist der zuständige CSIRT-Koordinator unverzüglich zu benachrichtigen. Dies ist eine leichtere Pflicht als das 24-Stunden-Meldungsfenster für Hersteller nach Art. 14, aber „unverzüglich" bedeutet dennoch zügig – Tage, nicht Wochen. Das CSIRT koordiniert die Reaktion und unterstützt bei der Schwachstellenoffenlegung.

Rechtstext

Artikel 24(2) der Verordnung (EU) 2024/2847 bestimmt, dass Betreiber von Open-Source-Software das gemäß Artikel 12(1) der Richtlinie (EU) 2022/2555 als Koordinator benannte CSIRT unverzüglich und innerhalb der in Durchführungsrechtsakten festgelegten Frist über Folgendes informieren müssen:

jede aktiv ausgenutzte Schwachstelle in den von ihnen verwalteten Open-Source-Software-Komponenten;
jeden schwerwiegenden Vorfall, der sich auf die Sicherheit dieser Open-Source-Software-Komponenten auswirkt.

Nach der Meldung behandelt das CSIRT die gemeldeten Informationen vertraulich und unterstützt den Betreiber der Open-Source-Software bei der Offenlegung der Schwachstelle gemäß den Praktiken zur koordinierten Schwachstellenoffenlegung.

Wesentliche Anforderungen

Auslöser: aktive Ausnutzung – Pflicht entsteht, wenn bekannt wird, dass eine Schwachstelle in der eigenen Software in freier Wildbahn aktiv ausgenutzt wird
Auslöser: schwerwiegender Vorfall – Pflicht entsteht auch bei schwerwiegenden Sicherheitsvorfällen, die die Sicherheitseigenschaften der Software beeinträchtigen
Empfänger: CSIRT-Koordinator – das nach NIS-2-Richtlinie Art. 12 als Koordinator benannte nationale CSIRT informieren, nicht direkt ENISA
Unverzüglich – zügige Meldung; der genaue Zeitrahmen wird durch Durchführungsrechtsakt festgelegt
Vertraulichkeit – das CSIRT behandelt die gemeldeten Informationen vertraulich und unterstützt die koordinierte Offenlegung

Nachweise, die Sie möglicherweise benötigen

An CSIRT-Koordinator übermittelte Meldung (Datum, Inhalt, Methode)
Interner Prozess zur Überwachung und Erkennung aktiver Ausnutzung
Vorfallsprotokoll mit Zeitpunkt der Kenntniserlangung und ergriffenen Maßnahmen
Zeitplan der koordinierten Offenlegung