Meldekanal für Schwachstellen nach NIS2 und CRA
Ein Meldekanal für Schwachstellen nach NIS2 und CRA gibt externen Sicherheitsforschern einen sicheren Ort, um eine Lücke in Ihrem Produkt zu melden. Der Cyber Resilience Act macht diesen Kanal ab dem 11. Dezember 2027 zur gesetzlichen Pflicht für Hersteller. NIS2 verlangt ihn nicht, und die Prüfrahmen, nach denen Kunden fragen, ebenso wenig.
Eine aktiv ausgenutzte Schwachstelle müssen Sie an ein nationales CSIRT melden
Für jedes neue Produkt müssen Sie eine Offenlegungsrichtlinie und eine Kontaktadresse veröffentlichen
Meldungen, die hereinkommen, und Meldungen, die hinausgehen
Zwei verschiedene Pflichten tragen denselben Namen. Um sie zu unterscheiden, fragen Sie, in welche Richtung die Meldung läuft.
Jemand außerhalb Ihres Unternehmens findet eine Lücke in Ihrem Produkt und teilt sie Ihnen mit. Das nennt man koordinierte Offenlegung von Schwachstellen. Sie brauchen eine veröffentlichte Adresse, eine schriftliche Richtlinie und einen sicheren Weg zu antworten.
Sie teilen einem nationalen Cybersicherheitsteam oder einer Behörde mit, dass etwas schiefgelaufen ist. Artikel 23 NIS2 und Artikel 14 CRA funktionieren so, und beide setzen kurze Fristen. Ein Kanal für Sicherheitsforscher erfüllt keine dieser Pflichten.
Welche Regeln einen Meldekanal verlangen
Nur eine davon schafft eine Rechtspflicht für europäische Unternehmen. Die anderen vier sind Normen und Leitfäden, nach denen Kunden häufig fragen.
Anhang I verlangt vom Hersteller eine Richtlinie zur koordinierten Offenlegung von Schwachstellen. Er muss außerdem eine Adresse veröffentlichen, unter der Lücken gemeldet werden können. Eine Mindestgröße des Unternehmens gibt es nicht. Bußgelder reichen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Umsatzes. Die Pflicht trifft Hersteller, ein Unternehmen, das Software nur einkauft, ist also nicht erfasst. Für jedes Produkt beginnt sie an dem Tag, an dem dieses Produkt in den Verkehr kommt oder wesentlich verändert wird, ab dem 11. Dezember 2027.
NIS2 verlangt von Ihrem Unternehmen keinen öffentlichen Kanal für Sicherheitsforscher. Artikel 12 überträgt diese Aufgabe jedem Mitgliedstaat und dem nationalen Cybersicherheitsteam, das er benennt. Die Nutzung der EU-Schwachstellendatenbank ist freiwillig. Erfasste Unternehmen bekommen einen einzigen Satz, in Artikel 21 Absatz 2 Buchstabe e: Behandlung und Offenlegung von Schwachstellen. Sagt ein Anbieter, NIS2 verlange einen Meldekanal, prüfen Sie zuerst Ihr nationales Recht.
29147 deckt den Teil ab, den ein Sicherheitsforscher sieht: wie Sie eine Meldung entgegennehmen, wie Sie der absendenden Person antworten und wie Sie das Ergebnis veröffentlichen. 30111 deckt Untersuchung und Behebung im eigenen Team ab. Keine der beiden ist Gesetz, und keine vergibt ein Zertifikat. Die meisten veröffentlichten Richtlinien folgen ihnen, ein prüfendes Sicherheitsteam erwartet daher denselben Aufbau.
Directive 20-01 verpflichtet US-Bundesbehörden, eine Richtlinie zur Offenlegung von Schwachstellen zu veröffentlichen. NIST SP 800-216 beschreibt dieselbe Arbeit ausführlicher. Keines von beiden gilt für ein europäisches Unternehmen. Lesenswert sind sie, weil sie das Format geprägt haben, nach dem Käufer heute suchen. Dazu gehört zu benennen, welche Systeme geprüft werden dürfen, zuzusagen, gegen gutgläubig Handelnde nicht rechtlich vorzugehen, und eine einzige Adresse für Meldungen anzugeben.
SOC 2 erwähnt die Offenlegung von Schwachstellen nicht. Cyber Essentials erwähnt sie ebenfalls nicht. ISO/IEC 27002 kennt keine Maßnahme für einen externen Meldekanal. In der Praxis kommt die Anforderung über Sicherheitsfragebögen von Kunden. Die MVSP-Liste verlangt eine veröffentlichte Richtlinie, die sagt, was geprüft werden darf, zusagt, gutgläubige Forschende nicht zu verklagen, und Kontaktdaten nennt.
Daten und Schwellenwerte stammen aus den EU-Texten. Ihre Aufsichtsbehörde oder Ihre Branche können mehr verlangen.
Richten Sie Ihre security.txt auf den Kanal aus
RFC 9116 definiert eine kurze Textdatei unter /.well-known/security.txt, damit Forschende den richtigen Kontakt ohne Suche finden. Die Datei gilt nur für die Domain, von der sie ausgeliefert wird, sie muss also auf Ihrer bleiben. Die Adresse darin kann Ihre WeMoral-Seite sein.
Das Feld Expires ist Pflicht und sollte weniger als ein Jahr in der Zukunft liegen. Jemand muss die Datei erneuern, bevor sie abläuft. Wir haben 155 Domains geprüft. Von den gefundenen Dateien verstießen 48 Prozent gegen die Regeln und 21 Prozent waren bereits abgelaufen.
Contact: https://wemoral.com/report/demo Policy: https://example.com/security-policy Preferred-Languages: en, de Expires: 2027-03-01T00:00:00.000Z
Was der Kanal abdeckt
WeMoral nimmt die Meldung entgegen und gibt Ihnen einen sicheren Verlauf, um darauf zu antworten. Es ist keine Bug-Bounty-Plattform.
Es läuft im selben Konto und im selben Fallbereich wie Ihre übrigen Meldungen. Ein zweites System muss niemand kaufen.
Häufig gestellte Fragen
Muss mein Unternehmen einen Meldekanal für Schwachstellen betreiben?
Nur wenn Sie Hersteller im Sinne des Cyber Resilience Act sind. Diese Pflicht beginnt am 11. Dezember 2027 und gilt für jedes Produkt, sobald es in den Verkehr kommt oder wesentlich verändert wird. Ein Unternehmen, das Software nur einkauft, ist nicht erfasst. Prüfen Sie zuerst Ihr nationales Recht.
Ist das dasselbe wie die Meldung von Vorfällen nach NIS2?
Nein, der Unterschied ist die Richtung. Vorfallmeldung geht nach außen: Sie teilen einer Behörde in kurzer Frist mit, dass Ihnen etwas zugestoßen ist. Ein Offenlegungskanal geht nach innen: jemand von außen meldet Ihnen eine Lücke. Die meisten Teams brauchen beides und halten es getrennt.
Kann WeMoral unsere security.txt hosten?
Nein. RFC 9116 sagt, die Datei gilt nur für die Domain, von der sie ausgeliefert wird, sie muss also bei Ihnen liegen. Wir können die Adresse sein, auf die sie zeigt. Tragen Sie Ihre WeMoral-Meldeseite in die Zeile Contact ein.
Kann ein Kanal Meldungen von Beschäftigten und Sicherheitsmeldungen aufnehmen?
Ja, und viele Teams tun das. Halten Sie die beiden Arten von Meldung aber getrennt. Wer als Beschäftigter ein Fehlverhalten meldet, hat einen rechtlichen Schutz, den ein externer Forschender nicht bekommt. Nutzen Sie getrennte Zuständige und getrennte Aufbewahrungsregeln, im selben Bereich.