Einen Meldeablauf für Schwachstellen einrichten

Richten Sie für Ihre ausgelieferte Access-Anwendung einen Ablauf ein, mit dem Sie eine Schwachstelle oder einen Sicherheitsvorfall erfassen, fristgerecht melden, beheben und abschließen, wie es Art. 14 der Verordnung (EU) 2024/2847 verlangt.

Kontext

Seit dem 11. September 2026 muss der Hersteller eine aktiv ausgenutzte Schwachstelle und einen schwerwiegenden Sicherheitsvorfall innerhalb von 24 Stunden vorwarnen und innerhalb von 72 Stunden melden. Die Fristen laufen auch am Wochenende. Wer erst beim ersten Fall klärt, wer meldet und wie, verpasst sie. Hintergrund: Pflichten als Herausgeber nach der Cyberresilienz-Verordnung.

Lösungsüberblick

Vor der ersten Lieferung legen Sie Rollen, Anlaufstelle, Zugang zur Meldeplattform und die Ablage der Vorgangsakten fest.
Jeder Fall läuft durch neun Schritte: Eingang, Einstufung, Frühwarnung, Meldung, Information der Nutzer, Behebung, Sicherheitshinweis, Abschlussbericht, Abschluss.
Für Frühwarnung, Meldung, Abschlussbericht und Nutzerinformation verwenden Sie die Vorlagen unten.
Die Korrektur liefern Sie als neue Version aus; der Starter installiert sie beim nächsten Start jedes Benutzers.

graph TD
  E[Eingang] --> T[Erfassen und einstufen]
  T -->|nicht ausgenutzt| K[Beheben und ausliefern]
  T -->|aktiv ausgenutzt oder schwerwiegender Vorfall| F[Frühwarnung, bis 24 h]
  F --> M[Meldung, bis 72 h]
  M --> N[Nutzer informieren]
  M --> K
  K --> V[Sicherheitshinweis veröffentlichen]
  K -->|meldepflichtig| A[Abschlussbericht]
  V --> Z[Fall schließen]
  A --> Z

Umsetzung

Vor der ersten Lieferung festlegen

Festlegung	Inhalt
Fallführung und Vertretung	Wer einen Fall von der Einstufung bis zum Abschluss verantwortet
Meldende und Vertretung	Wer über die Meldeplattform meldet und für die Meldung zeichnet
Erreichbarkeit	Wie Sie die 24-h-Frist am Wochenende einhalten (Bereitschaft oder feste Prüfzeiten)
Koordinierendes CSIRT und Meldeplattform	Das CSIRT des Mitgliedstaats, in dem Sie die Entscheidungen zur Cybersicherheit Ihrer Anwendung überwiegend treffen (Art. 14 Abs. 7), in Deutschland CERT-Bund im BSI. Registrieren Sie Ihre Vertreter auf der einheitlichen Meldeplattform der ENISA (https://www.enisa.europa.eu/cra-srp)
Zentrale Anlaufstelle	Wie Nutzer Ihnen Schwachstellen melden, mit mehr als einem automatisierten Kanal, und wo Ihre Richtlinie zur koordinierten Offenlegung steht (Art. 13 Abs. 17, Anhang I Teil II Nr. 5–6)
Vorgangsakten	Ein Ort mit beschränktem Zugriff, aufbewahrt mindestens zehn Jahre oder für den Unterstützungszeitraum, je nachdem, was länger ist

Üben Sie den Ablauf einmal mit einem erfundenen Fall, bevor Sie zum ersten Mal liefern.

Einen Fall bearbeiten

Eingang. Legen Sie sofort eine Vorgangsakte an und notieren Sie den Zeitpunkt. Benachrichtigen Sie Fallführung und Meldende. Legen Sie Inhalte der Meldung nie in öffentlich lesbaren Systemen ab: keine öffentlichen Repositories, Wikis oder Arbeitselemente, keine Commit-Messages.
Einstufen, spätestens 4 h nach Eingang. Klären Sie, welche Versionen und Mitgliedstaaten betroffen sind, wie schwer die Schwachstelle ist (zum Beispiel nach CVSS), ob verlässliche Nachweise einer Ausnutzung durch einen böswilligen Akteur vorliegen oder ein schwerwiegender Sicherheitsvorfall (Art. 14 Abs. 5). Liegt die Ursache in einem Bestandteil, etwa in einer WKL-Komponente, melden Sie die Schwachstelle auch dessen Hersteller. Ab der Einstufung „meldepflichtig“ gilt der Zeitpunkt der Kenntnis. Im Zweifel melden Sie.
Frühwarnung, spätestens 24 h nach Kenntnis. Senden Sie die Frühwarnung über die Meldeplattform. Was noch nicht bekannt ist, geben Sie so an.
Meldung, spätestens 72 h nach Kenntnis. Senden Sie die Meldung. Verlangt das CSIRT einen Zwischenbericht, verwenden Sie dieselbe Vorlage.
Nutzer informieren. Informieren Sie die betroffenen Nutzer mit der Nutzerinformation über die Maßnahmen, die sie ergreifen können. Stimmen Sie den Zeitpunkt mit dem CSIRT ab, wenn eine frühe Veröffentlichung Angreifern helfen würde.
Beheben und ausliefern. Bauen Sie die Korrektur als eigene Version, möglichst ohne neue Funktionen, und liefern Sie sie kostenlos aus:
```
wkl-office deliver Customers.acproj --version 1.4.1
```
Mit einem Lieferschlüssel signieren Sie die Version danach mit /publish /key des Starters. Halten Sie jede Sicherheitsaktualisierung mindestens zehn Jahre oder für den Rest des Unterstützungszeitraums verfügbar.
Sicherheitshinweis veröffentlichen. Beschreiben Sie nach der Korrektur die Schwachstelle, die betroffenen und korrigierten Versionen, Auswirkung, Schweregrad und die Schritte zur Behebung (Anhang I Teil II Nr. 4).
Abschlussbericht. Senden Sie den Abschlussbericht: bei einer Schwachstelle spätestens 14 Tage, nachdem eine Korrektur oder Risikominderung verfügbar ist; bei einem Vorfall innerhalb eines Monats nach der Meldung.
Fall schließen. Schließen Sie die Vorgangsakte und halten Sie fest, was Sie am Ablauf ändern.

Vorlage Frühwarnung

Hersteller:        <Name, Anschrift>
Kontakt:           <Meldende, Telefon, E-Mail>
Art:               aktiv ausgenutzte Schwachstelle | schwerwiegender Sicherheitsvorfall
Produkt:           <Anwendung>, Versionen <...>
Kenntnis seit:     <Datum, Uhrzeit, Zeitzone>
Mitgliedstaaten:   <Staaten, in denen die Anwendung nach Ihrer Kenntnis bereitgestellt wurde>
Nur bei Vorfall:   Verdacht auf rechtswidrige oder böswillige Handlung: ja | nein | noch nicht bekannt
Kurzbeschreibung:  <ein bis drei Sätze, soweit bekannt>
Vertraulichkeit:   <wie sensibel die Angaben sind>

Vorlage Meldung

Bezug:                 Frühwarnung vom <Datum>, Kennung der Plattform <...>
Produkt:               <Anwendung>, betroffene Versionen <...>, nicht betroffene Versionen <...>
Art:                   <Schwachstelle bzw. Vorfall, Schweregrad; bei Vorfall erste Bewertung>
Art der Ausnutzung:    <was beobachtet wurde, soweit bekannt>
Ergriffene Maßnahmen:  <Korrektur in Arbeit, vorläufige Abhilfe, Kunden informiert>
Maßnahmen der Nutzer:  <was Nutzer jetzt tun können>
Vertraulichkeit:       <wie sensibel die Angaben sind>

Vorlage Abschlussbericht

Bezug:             Meldung vom <Datum>, Kennung der Plattform <...>
Beschreibung:      <Schwachstelle bzw. Vorfall, Schweregrad, Auswirkung>
Ursache:           <bei Vorfall: Art der Bedrohung bzw. zugrunde liegende Ursache>
Akteur:            <bei Schwachstelle: Angaben zu einem böswilligen Akteur, falls verfügbar>
Korrektur:         <Version, Datum der Verfügbarkeit, Bezugsweg>
Weitere Maßnahmen: <getroffene und laufende Abhilfe>

Vorlage Nutzerinformation

Betreff: Sicherheitshinweis <Kennung> - <Anwendung> <Versionen>
 
Was ist betroffen:  <Anwendung und Versionen>
Was ist das Risiko: <verständliche Beschreibung, Schweregrad>
Was Sie jetzt tun:  <Schritte>
Korrektur:          <Version und Bezugsweg, oder voraussichtlicher Termin>
Kontakt:            <Ihre Anlaufstelle>

Hinweise

Die Vorlagen nennen, was eine Meldung enthalten soll. Weichen die Felder der Meldeplattform ab, gilt die Plattform.
Nicht ausgenutzte Schwachstellen sind nicht meldepflichtig. Sie beheben sie trotzdem und veröffentlichen nach der Korrektur einen Sicherheitshinweis.
Diese Seite ist eine Vorlage für Ihren eigenen Ablauf, keine Rechtsberatung. Die Pflichten treffen Sie als Hersteller Ihrer Anwendung.