Wie man nach dem CRA an CIRCL meldet

1. Wer Ihre Meldung erhält: CIRCL und GOVCERT.LU

Luxemburg trennt die Empfänger nach Art der Einrichtung: CIRCL für den Privatsektor und die Gemeinden, GOVCERT.LU für den Staat. CIRCL arbeitet von Luxemburg-Stadt aus, und sein technischer Ruf übersteigt die Größe des Landes, das es bedient, bei weitem.

Die Kette ist genau diese: die Behörde als Institution, CIRCL als operatives Team, das Ihre Meldung liest und zusammen mit der ENISA den in Art. 14 vorgesehenen Empfänger bildet.

CIRCL ist das Incident-Response-Zentrum Luxemburgs für den Privatsektor, die Gemeinden und nichtstaatliche Einrichtungen und wird von SECURITYMADEIN.LU betrieben. Für den Staat arbeitet GOVCERT.LU. Die Trennung verläuft nach Art der Einrichtung, nicht nach Art des Ereignisses.

2. Der nationale Kanal in der Praxis

Die Sprache der Meldung kann Französisch, Englisch oder Deutsch sein: Luxemburg arbeitet gewöhnlich dreisprachig, und CIRCL veröffentlicht den Großteil seines technischen Materials auf Englisch.

CIRCL ist zugleich Urheber offener Werkzeuge, die europaweit zum Austausch von Indikatoren genutzt werden — allen voran MISP. Für Hersteller ist es ein technisch versierter Ansprechpartner, der strukturierte Meldungen erwartet und mit ihnen umzugehen weiß.

CIRCL · offizielle Website

3. Das Umfeld, in dem er steht

Luxemburg hat ein kleines, dichtes Ökosystem aus wenigen Organisationen, die einander kennen. Das ist ein operativer Vorteil: kurze Reaktionszeiten und ein kurzer Verwaltungsweg.

Für den CRA folgt die Benennung des CSIRT, das Herstellermeldungen entgegennimmt, der nationalen Umsetzung der Verordnung. Prüfen Sie vor der Einreichung, welches der beiden Teams für Ihren Fall benannt ist, und leiten Sie es nicht aus Ihrer Unternehmensgröße ab.

Ein letzter praktischer Punkt: Luxemburg hat eine ungewöhnliche Dichte an Finanzakteuren und Anbietern digitaler Dienste, und die Praxis des CIRCL spiegelt diese Klientel. Bedient Ihr Produkt diesen Sektor, rechnen Sie mit hohen Erwartungen an die Qualität der technischen Meldung und an strukturierte Formate.

4. Wie eingereicht wird, kurz gefasst

Die Einreichung ist keine E-Mail an die Behörde: sie läuft über die zentrale Meldeplattform nach Art. 16, und der Zugang verlangt vorher validierte EU-Login-Zugangsdaten.

Die Fristenkette — 24 Stunden, 72 Stunden, Abschlussbericht — ist unionsweit dieselbe und steht vollständig auf der Seite zu Art. 14. Beim anderen Auslöser des Artikels ändert sich die Schlussfrist: sie steht auf der Seite zum schwerwiegenden Sicherheitsvorfall.

5. Was vor einem Vorfall vorzubereiten ist

Fünf Dinge, in Ruhe geordnet, entscheiden darüber, ob eine Meldung rechtzeitig oder zu spät eingeht. Das erste ist der Kontaktpunkt zu CIRCL, benannt und validiert, mit benannter Vertretung: am Tag des Falls sucht man nicht erst, wer die Zugangsdaten hat.

In Luxemburg lohnt es sich, die kurze Kette zu nutzen: ein vorab hergestellter Kontakt mit geprüftem Namen und geprüfter Adresse verkürzt auf wenige Stunden, was anderswo ein Verfahren erfordert.

Und ein Hinweis zur Zeit: Luxemburg liegt auf CET/CEST und hat einen hohen Anteil an Grenzgängern, deren Feiertagskalender nicht übereinstimmen. Die vierundzwanzig Stunden des Art. 14 passen zu keinem der drei Kalender: planen Sie die Bereitschaft entsprechend.

Dieser Leitfaden gibt unsere Lesart des Verordnungstextes und der öffentlichen Verfahren wieder; er ist keine Rechtsberatung, und die operativen Details der Plattform können sich ändern.