Wann beginnen die 24 Stunden? Der Anker der Kenntnisnahme

Der Moment der Kenntnisnahme, und warum eine Behörde zuerst auf ihn schaut

Art. 14(1) verankert jede Frist an einem einzigen Augenblick: dem Moment, in dem der Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall mit Auswirkungen auf die Produktsicherheit Kenntnis erlangt. Ab diesem Augenblick laufen die 24 Stunden der Frühwarnung, und die ganze folgende Kette hängt daran. Das nennen wir den Moment der Kenntnisnahme.

Es ist das Erste, was eine Behörde prüft, gerade weil es ein einzelnes Datum mit Uhrzeit ist, keine Auslegung. Um zu entscheiden, ob eine Frist gewahrt wurde, muss der Prüfer nicht in die Sache der Schwachstelle einsteigen: Es genügt, zwei Zeitstempel zu vergleichen — den Augenblick der Kenntnisnahme und den der Einreichung. Alles Übrige folgt aus dieser Subtraktion.

Eine technische Uhr, die an der Organisation gewonnen oder verloren wird

Hat man den Anker verstanden, verschiebt sich das Problem seitwärts: vom Technischen ins Organisatorische. Die 24 Stunden vergehen nicht mit dem Verstehen des Bugs — sie vergehen damit, rechtzeitig zu bemerken, dass Ihnen jemand geschrieben hat. Damit sich dieses Fenster nicht von selbst schließt, braucht es drei Dinge: einen einzigen, besetzten Eingangskanal; eine schriftliche Regel, wer die Meldung nach welchen Kriterien bewertet; und eine Rufbereitschaftskette mit Stundenschwellen und benannten Vertretungen.

Den Unternehmen, die wir in Schwierigkeiten gesehen haben, fehlte nicht die Kompetenz: Ihre Ingenieure hätten die Schwachstelle in einer Stunde analysieren können. Ihnen fehlte die Verfügbarkeit. Die Meldung kam auf einem Kanal an, den niemand beobachtete, oder erreichte eine Person im Wochenende ohne Vertretung dahinter. Die Frist wurde nicht in der Sache versäumt, sondern am Dienstplan.

Den Augenblick festhalten und dokumentieren, damit er Monate später standhält

Zu wissen, dass die Frist ab Kenntnisnahme läuft, nützt wenig, wenn man nicht beweisen kann, wann sie eintrat. Der Augenblick muss festgehalten werden, wenn er geschieht, nicht später aus dem Gedächtnis rekonstruiert. Praktisch heißt das: ein Eingang, der jede Meldung automatisch mit Zeitstempel versieht, und ein manipulationssicherer Registereintrag — der Ankunft, Zeit, Quelle und Zuständigen festhält und den niemand nachträglich still ändern kann.

Der Zweck der Manipulationssicherheit ist die Verteidigbarkeit. Monate später, vor einem Prüfer, wollen Sie nicht darüber streiten, wann Sie es wussten: Sie wollen einen im Moment erzeugten Nachweis, dessen Datum nicht vor- oder zurückgeschoben worden sein kann. Ein zeitgestempelter Eingang und ein Write-once-Register machen aus einer bestreitbaren Erinnerung einen Fakt.

23:40 an einem Samstag: die Uhr durchgehen

Eine Meldung erreicht die öffentliche Adresse am Samstag um 23:40: Ein Forscher schreibt, dass eine Schwachstelle in Ihrem Produkt in freier Wildbahn ausgenutzt wird. Dieser Zeitstempel — Samstag 23:40 — ist der Augenblick, den Sie verteidigen müssen. Die 24 Stunden warten nicht auf die Büroöffnung: Die Frühwarnung ist bis Sonntag 23:40 fällig.

Gehen Sie die Uhr durch. Funktioniert die Rufbereitschaftskette, ist die Meldung um 23:45 gestempelt und protokolliert; um 00:30 hat der Diensthabende bestätigt, dass verlässliche Ausnutzungsnachweise vorliegen; am Sonntagvormittag ist die Frühwarnung eingereicht, mit vierzehn Stunden Reserve. Bleibt die Nachricht dagegen bis Montag 09:00 ungelesen, ist die Kenntnisnahme trotzdem auf Samstag 23:40 fixiert — das Gesetz verschiebt den Anker nicht — und dreiunddreißig Stunden sind vergangen, neun davon jenseits der Frist, bevor jemand eine Zeile gelesen hat.

Der Anker und das Register sind dieselbe Disziplin

Der Augenblick der Kenntnisnahme ist der erste Eintrag einer Beweiskette über das ganze Leben einer Meldung: Kenntnisnahme, Einstufung, Frühwarnung, 72-Stunden-Update, Abschlussbericht. Jedes davon hat seine Frist, gezählt ab dem Anker oder dem vorigen Schritt, und jedes ist nur verteidigbar, wenn es festgehalten wurde, als es geschah. Das zeitgestempelte Register ist keine Bürokratie — es macht jede spätere Frist beweisbar.

Die genauen Fristenketten — welche für eine ausgenutzte Schwachstelle gilt und welche für einen schweren Vorfall, und wie sich die Abschlussberichte unterscheiden — stehen in unserem Grundlagenartikel zu Art. 14. Lesen Sie Anker und Ketten zusammen: Der erste sagt, wann die Zählung beginnt, die zweiten, worauf sie herunterzählt.