Wie man nach dem CRA an CERT-FR meldet

1. Wer Ihre Meldung erhält: ANSSI und CERT-FR

Die Agence nationale de la sécurité des systèmes d’information (ANSSI) ist die nationale Behörde, und CERT-FR ist ihr operatives Zentrum. Die ANSSI sitzt in Paris und ist für ein detailliertes Regelwerk und einen strengen Gebrauch der französischen Sprache bekannt.

Die Kette ist genau diese: die Behörde als Institution, CERT-FR als operatives Team, das Ihre Meldung liest und zusammen mit der ENISA den in Art. 14 vorgesehenen Empfänger bildet.

Die ANSSI ist die französische nationale Behörde für die Sicherheit von Informationssystemen und dem Generalsekretariat für Verteidigung und nationale Sicherheit zugeordnet. CERT-FR ist ihr operatives Zentrum: es nimmt entgegen, qualifiziert und verbreitet. Die Befehlskette ist kurz und erklärtermaßen staatlich.

2. Der nationale Kanal in der Praxis

Die Sprache der Meldung ist Französisch. Die ANSSI veröffentlicht Warnungen und Bulletins auf Französisch und vertritt eine bekannte Haltung zum Sprachgebrauch im Verkehr mit der Verwaltung: eine ausschließlich englische technische Dokumentation kann eine französische Zusammenfassung erfordern.

CERT-FR unterscheidet zwischen Meldungen regulierter Betreiber und spontanen Meldungen Dritter. Ein Hersteller, der kein Betreiber von vitaler Bedeutung ist, nutzt den allgemeinen Kanal; welches Formular gilt, klärt man besser vorab.

CERT-FR · offizielle Website

3. Das Umfeld, in dem er steht

Frankreich hat die NIS2 umgesetzt, die ANSSI als zuständige Behörde bestätigt und den Kreis der regulierten Einrichtungen erweitert. Das Modell bleibt zentralisiert: eine Behörde, ein nationales CERT, weite Zuständigkeiten.

Für den CRA folgt die Benennung des CSIRT, das Herstellermeldungen entgegennimmt, gleichwohl der nationalen Umsetzung der Verordnung — eine andere Frage als der NIS2-Anwendungsbereich. Prüfen Sie die geltende Benennung vor der Einreichung.

Ein letzter praktischer Punkt: die ANSSI betreibt auch die französischen Qualifizierungs- und Zertifizierungsschemata und wirkt am europäischen Rahmen mit. Fällt Ihr Produkt unter die kritischen, kennt dieselbe Stelle, die Ihre Meldungen erhält, auch den Zertifizierungsweg.

4. Wie eingereicht wird, kurz gefasst

Die Einreichung ist keine E-Mail an die Behörde: sie läuft über die zentrale Meldeplattform nach Art. 16, und der Zugang verlangt vorher validierte EU-Login-Zugangsdaten.

Die Fristenkette — 24 Stunden, 72 Stunden, Abschlussbericht — ist unionsweit dieselbe und steht vollständig auf der Seite zu Art. 14. Beim anderen Auslöser des Artikels ändert sich die Schlussfrist: sie steht auf der Seite zum schwerwiegenden Sicherheitsvorfall.

5. Was vor einem Vorfall vorzubereiten ist

Fünf Dinge, in Ruhe geordnet, entscheiden darüber, ob eine Meldung rechtzeitig oder zu spät eingeht. Das erste ist der Kontaktpunkt zu CERT-FR, benannt und validiert, mit benannter Vertretung: am Tag des Falls sucht man nicht erst, wer die Zugangsdaten hat.

In Frankreich lohnt es sich, rechtzeitig eine französische Zusammenfassung der technischen Inhalte vorzubereiten. Unter Druck binnen vierundzwanzig Stunden zu übersetzen ist der einfachste Weg, einen Fehler in ein Dokument zu bringen, das zu den Akten geht.

Und ein Hinweis zur Zeit: Frankreich liegt auf CET/CEST und hat im Frühjahr einen dichten Feiertagskalender. Die vierundzwanzig Stunden des Art. 14 halten nicht an. Eine benannte — nicht bloß angenommene — Vertretung unterscheidet eine tragfähige Rufbereitschaft von einer, die nur im Organigramm existiert.

Dieser Leitfaden gibt unsere Lesart des Verordnungstextes und der öffentlichen Verfahren wieder; er ist keine Rechtsberatung, und die operativen Details der Plattform können sich ändern.