Ausnutzbar ist nicht ausgenutzt

Der Cyber Resilience Act gilt vollständig erst ab dem 11. Dezember 2027. Eine Pflicht daraus greift allerdings schon am 11. September dieses Jahres: die Meldepflicht der Hersteller. Und sie greift breiter, als der Rest der Verordnung. Produkte, die vor Dezember 2027 in Verkehr gebracht wurden, sind von den Produktanforderungen grundsätzlich ausgenommen, solange sie nicht wesentlich geändert werden. Von der Meldepflicht sind sie es nicht. Das steht ausdrücklich so im Text.

Die Frist lautet 24 Stunden ab Kenntnis. Die interessantere Frage ist, wovon genau man Kenntnis erlangt haben muss.

Drei Sorten Schwachstelle, eine Meldepflicht

Die Verordnung definiert in Artikel 3 drei Begriffe, die im Alltag gern durcheinandergehen. Eine Schwachstelle ist eine Schwäche, die bei einer Cyberbedrohung ausgenutzt werden kann. Eine ausnutzbare Schwachstelle ist eine, die von einem unbefugten Dritten unter praktischen Betriebsbedingungen wirksam genutzt werden kann. Und eine aktiv ausgenutzte Schwachstelle ist eine, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat.

Meldepflichtig ist allein die dritte. Drei Merkmale müssen zusammenkommen: verlässliche Nachweise, ein böswilliger Akteur, und keine Zustimmung des Systemeigners. Das letzte Merkmal schließt den eigenen Penetrationstest aus, auch wenn er dieselbe Lücke erfolgreich ausnutzt.

Warum das kein Wortklauben ist

Wer die zweite Stufe für die dritte hält, meldet zu viel. Wer den Unterschied gar nicht führt, merkt zu spät, dass die Uhr längst läuft.

In unserem CSAF-Import sieht man die Grenze. Er liest aus Sicherheitshinweisen den Bedrohungsabschnitt aus und leitet daraus ab, ob ein Exploit verfügbar ist. Das ist eine Heuristik über Freitext, sie sucht nach Formulierungen wie „known exploit" oder „proof of concept". Das Ergebnis hat drei Zustände, und der dritte ist der wichtigste: keine Aussage. Ein Hinweis ohne Angabe zum Ausnutzungsstand liefert kein Nein, sondern ein Nichts.

Vor allem aber landet dieser Wert auf der zweiten Stufe, nicht auf der dritten. Ein verfügbarer Proof of Concept belegt, dass eine Schwachstelle ausnutzbar ist. Er belegt nicht, dass jemand sie ausgenutzt hat. Die Entscheidung, ob die 24-Stunden-Uhr läuft, bleibt eine menschliche.

Die Kette danach, und sie ist zweigeteilt

Ist der Fall erkannt, geht die Meldung gleichzeitig an das zuständige CSIRT und an die ENISA, über eine gemeinsame Meldeplattform. Danach laufen zwei Stränge nebeneinander, für Schwachstellen und für schwerwiegende Sicherheitsvorfälle. Beide beginnen mit einer Frühwarnung binnen 24 Stunden und einer inhaltlichen Meldung binnen 72 Stunden.

Die Abschlussberichte unterscheiden sich, und der Unterschied ist praktisch relevant. Bei einer Schwachstelle sind es 14 Tage, gerechnet ab dem Zeitpunkt, zu dem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht. Bei einem Vorfall ist es ein Monat, gerechnet ab der 72-Stunden-Meldung. Die eine Frist hängt an der eigenen Entwicklungsarbeit, die andere steht fest im Kalender.

Schwerwiegend ist definiert, nicht geschätzt

Bei den Vorfällen erspart die Verordnung die Diskussion über Schadenshöhen. Schwerwiegend ist ein Vorfall, wenn er sich negativ auf die Fähigkeit des Produkts auswirkt, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten und Funktionen zu schützen, oder wenn er zur Einführung oder Ausführung von Schadcode geführt hat. In beiden Fällen genügt, dass er es kann. Der Konjunktiv steht im Verordnungstext, nicht in unserer Auslegung.

Ein Feld trägt die ganze Kette

Im CRA-Modul wird ein Vorfall als meldepflichtig markiert, und dabei ist genau eine Angabe verpflichtend: der Zeitpunkt des Bekanntwerdens. Aus ihm werden die Fristen gerechnet, er bekommt eine eigene Referenznummer, und die drei Meldestufen führen jeweils ihren eigenen Status. Wenn später jemand fragt, warum die Frühwarnung zu diesem und keinem anderen Zeitpunkt raus ist, hängt die Antwort an diesem einen Feld.

Was das Modul heute nicht tut, gehört dazu: Die Übermittlung an die gemeinsame Meldeplattform ist nicht angebunden, weil deren Schnittstelle noch im Aufbau ist. Bis dahin erzeugt das Modul die Meldeinhalte je Stufe zum Export und zur manuellen Meldung. Das ist ein Unterschied, den man kennen sollte, bevor man sich auf eine Automatik verlässt, die es noch nicht gibt.

Die Frage davor, ob überhaupt gemeldet werden muss, beantwortet das Modul ohnehin nicht allein. Sie entsteht aus dem Schwachstellenmanagement, das Sicherheitshinweise gegen das Asset-Inventar abgleicht, und aus der Einordnung, die ein Mensch daraus zieht.

Der Termin steht mit Fundstelle im Compliance-Kalender. Warum ein Verzeichnis solche Pflichten auf Artikel-Ebene führen muss, stand hier gestern. Produktbezogene Einordnung, keine Rechtsberatung. Maßgeblich ist die Verordnung (EU) 2024/2847.