Schwerwiegender Sicherheitsvorfall: wann Art. 14 greift

1. Was ein schwerwiegender Sicherheitsvorfall nach der Verordnung ist

Nicht „ein ernstes Problem“, sondern eine definierte Kategorie: ein Vorfall, der die Fähigkeit des Produkts mit digitalen Elementen beeinträchtigt, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten und Funktionen zu schützen, oder der zur Ausführung von Schadcode geführt hat. Zwei alternative Bedingungen: eine genügt.

Der praktische Unterschied zur ausgenutzten Schwachstelle liegt im Ausgangspunkt. Dort steht ein Produktfehler am Anfang, den jemand genutzt hat. Hier steht ein Ereignis am Anfang — unbefugter Zugriff auf die Update-Infrastruktur, ein kompromittierter Signaturschlüssel, ein bösartiges Paket in der Vertriebskette —, das die Sicherheitseigenschaften des Produkts verschlechtert hat. Einen Fehler muss es nie gegeben haben.

2. Zwei Ketten, nicht eine

Art. 14 hält beide Ketten getrennt; wer sie vermischt, verfehlt Fristen. Die Pflicht lösen zwei Sachverhalte aus:

• eine aktiv ausgenutzte Schwachstelle des Produkts, also mit Belegen, dass jemand sie unbefugt genutzt hat;
• ein schwerwiegender Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts, auch ohne ausgenutzte Schwachstelle.

Die ersten beiden Fristen sind identisch — 24 und 72 Stunden —, die letzte nicht, und die Inhalte der Meldungen ebenso wenig. Die Unterscheidung zwischen gemeldeter und ausgenutzter Schwachstelle hilft bei der Einordnung eines Vorfalls nicht: es sind zwei verschiedene Achsen.

3. Ab wann die Stunden laufen

Ab der Kenntnisnahme. Nicht ab Eröffnung des Falls, nicht ab der Sitzung des Krisenstabs, nicht ab dem Moment, in dem Sie das Ausmaß verstanden haben. Ab dem Zeitpunkt, zu dem der Hersteller vom Vorfall Kenntnis erlangt: die Meldung an der öffentlichen Adresse, der Monitoring-Alarm, den jemand gelesen hat, der Anruf der Kundin.

Es ist der Zeitpunkt, den Sie einer Behörde nennen können müssen, samt Nachweis, wann Sie ihn festgehalten haben. Ihn spät festzuhalten verlängert die Fristen nicht: es verschiebt sie nur auf dem Papier — und genau das Papier wird angesehen.

4. Die drei Meldungen und die Frist, die sich ändert

Die Kette ist die des Art. 14, mit einem Unterschied beim Abschlussbericht:

• Frühwarnung binnen 24 Stunden ab Kenntnisnahme: Sie erklären, dass ein schwerwiegender Vorfall vorliegt, mit dem, was Sie wissen;
• Aktualisierungsmeldung binnen 72 Stunden: erste Bewertung, Schweregrad, Auswirkungen und die getroffenen Korrektur- oder Abhilfemaßnahmen;
• Abschlussbericht binnen eines Monats nach der Aktualisierungsmeldung: Beschreibung des Vorfalls, Schweregrad und Auswirkungen, Ursachen, angewandte Maßnahmen.

Hier laufen die beiden Ketten auseinander. Bei der ausgenutzten Schwachstelle knüpft der Abschlussbericht an den Tag an, an dem die Korrekturmaßnahme verfügbar wird, plus vierzehn Tage. Beim schwerwiegenden Vorfall knüpft er an die Aktualisierungsmeldung an, plus einen Monat. Wer einen Vorfall nach dem Schwachstellenkalender behandelt, verfehlt die Frist um Wochen.

5. Wem gemeldet wird

Den beiden Empfängern der Verordnung: dem vom Mitgliedstaat benannten CSIRT und der ENISA. Die Einreichung läuft über die zentrale Meldeplattform nach Art. 16, mit EU-Login-Zugangsdaten: Verwaltungsschritte, die man vorher erledigt, nicht innerhalb der vierundzwanzig Stunden.

Die auf dieser Seite verwendeten Begriffe der Verordnung — schwerwiegender Sicherheitsvorfall, Kenntnisnahme, Korrekturmaßnahme, zentrale Meldeplattform — stehen im Glossar, jeweils mit dem zugehörigen Artikel.

6. Was vorher bereitliegen muss

Ein schwerwiegender Vorfall wird unter Druck eingeordnet, und die Einordnung ist während der Entscheidung zu dokumentieren, nicht im Nachhinein zu rekonstruieren. Vier Dinge machen den Unterschied:

• ein einziger Kanal, an dem externe Meldungen eingehen, mit Zeitstempel für jeden Eingang;
• ein schriftliches Kriterium, das eine Fehlfunktion von einem Vorfall mit Sicherheitsauswirkung trennt;
• der Kontaktpunkt zum benannten CSIRT und die EU-Login-Zugangsdaten, bereits validiert;
• ein Entscheidungsregister: auch ein begründetes „nein, das ist kein schwerwiegender Vorfall“ zählt als Sorgfalt, ein stilles „nein“ zählt nichts.

Keines dieser vier Dinge entsteht am Tag des Falls.

Diese Seite beschreibt die Verordnung allgemein; sie ist weder Rechtsberatung noch eine Bewertung Ihres konkreten Falls. Die Einordnung eines Ereignisses und die daraus folgenden Fristen bleiben Sache des Herstellers.