Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen, die in der EU verkauft werden, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche Meldeplattform der ENISA (Single Reporting Platform, SRP) melden, auch für Produkte, die bereits auf dem Markt sind. Zehn Punkte, die ein Herstellerteam vorbereitet haben sollte.
Bevor etwas passiert
- Produktübersicht. Alle Produkte mit digitalen Elementen, die in der EU bereitgestellt werden, mit den noch unterstützten Versionen.
- SBOM je Produkt und Version. Eine maschinenlesbare Software-Stückliste (CycloneDX oder SPDX), automatisch in der Build-Pipeline erzeugt, nicht von Hand gepflegt. Jede ausgelieferte Schicht gehört hinein: Anwendungsabhängigkeiten, Betriebssystempakete und Firmware.
- Monitoring auf Ausnutzung. Mindestens täglicher Abgleich dieser Komponenten mit Quellen aktiv ausgenutzter Schwachstellen, etwa dem CISA-Katalog Known Exploited Vulnerabilities und der EU-Schwachstellendatenbank der ENISA.
- Wann die Frist beginnt. Intern festgelegt, was „Kenntnis erlangen“ bedeutet, und der Zeitpunkt dokumentiert. Die Fristen laufen ab diesem Moment, auch an Wochenenden und Feiertagen.
- Benannte Personen und SRP-Zugang. Eine verantwortliche Person und eine Vertretung, die entscheiden und auf der SRP melden. Beide brauchen ein EU-Login-Konto mit Mehrfaktor-Authentifizierung. Die Registrierung auf der SRP lohnt sich früh: eine primäre und bis zu 20 weitere Vertretungen, deren Zuordnung das CSIRT bestätigen muss. Die Validierung verhindert nicht, eine Meldung abzugeben; das EU-Login-Konto und die Zwei-Faktor-Einrichtung lassen sich jedoch nicht überspringen. Nachts um 2 Uhr geht nichts davon schnell.
- Das zuständige CSIRT. Welches nationale CSIRT zuständig ist: das des Mitgliedstaats der Hauptniederlassung in der EU. Ohne Niederlassung in der EU richtet es sich nach dem Bevollmächtigten, dann nach dem Einführer, dann nach dem Händler und ersatzweise der Mitgliedstaat mit den meisten Nutzern des Produkts.
- Meldekanal. Ein veröffentlichter Weg, auf dem Forschende und Kunden Schwachstellen
melden können: Sicherheitskontakt, Offenlegungsrichtlinie,
security.txt.
Wenn es passiert
- Die drei Fristen. Frühwarnung innerhalb von 24 Stunden · Meldung innerhalb von 72 Stunden · Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist (bei schwerwiegenden Vorfällen: innerhalb eines Monats nach der Meldung).
- Nutzer informieren. Betroffene Nutzer erfahren von der Schwachstelle und von den Gegenmaßnahmen oder Updates, die sie anwenden können.
Nachweisen, dass es funktioniert
- Eine Übung. Eine echte Komponente in einem Produkt, behandelt als würde sie an einem Samstagmorgen ausgenutzt, und die Punkte 3 bis 9 mit der Stoppuhr durchgespielt.
Zum Start hat die SRP keine Programmierschnittstelle: Eine Person gibt jede Meldung über ein Webformular ab. Vorbereitete Texte sind besser als Texte unter Zeitdruck.