Richtlinie zur Schwachstellenbehandlung nach dem CRA: kostenlose Vorlage für Confluence
Anhang I Teil II des Cyber Resilience Act nennt acht Anforderungen an die Behandlung von Schwachstellen, die ab dem 11. Dezember 2027 gelten. Diese Vorlage macht daraus eine einseitige Richtlinie, die Ihr Team in Confluence übernehmen kann: wer was tut, wie schnell, und wo die Nachweise liegen.
Richtlinie zur Schwachstellenbehandlung: [Produkt oder Produktfamilie]
Verantwortlich: [Name, Rolle] · Freigegeben von: [Name, Rolle] · Version und Datum: [1.0, Datum] · Nächste Überprüfung: [Datum]
1. Geltungsbereich
Abgedeckte Produkte und Versionen: [Liste oder Link zum Produktregister]. Supportzeitraum je Version: [Endmonat und -jahr], mindestens fünf Jahre, es sei denn, das Produkt wird voraussichtlich kürzer genutzt (Art. 13 Abs. 8).
2. Komponenten und SBOM
- Jede veröffentlichte Version hat eine Software-Stückliste (SBOM) in [CycloneDX / SPDX], die mindestens die Abhängigkeiten der obersten Ebene abdeckt und vom Build erzeugt wird (Anhang I Teil II Nr. 1).
- SBOMs werden mit der technischen Dokumentation mindestens zehn Jahre aufbewahrt oder für die Dauer des Supportzeitraums, falls dieser länger ist.
3. Eingang von Meldungen
- Öffentlicher Kontakt für Schwachstellenmeldungen: [security@… / Webformular]. Richtlinie zur koordinierten Offenlegung von Schwachstellen: [Link] (Anhang I Teil II Nr. 5 und 6).
- Jede Meldung wird innerhalb von [einem Arbeitstag] in [Jira-Projekt] erfasst, mit dem Zeitpunkt ihres Eingangs.
4. Bewerten und beheben
- Triage durch [Rolle] innerhalb von [Zeit]: betroffene Versionen (SBOM-Suche), Schweregrad, Ausnutzungsstatus.
- Korrekturen erfolgen unverzüglich; Sicherheitsupdates werden, soweit technisch möglich, getrennt von Funktionsupdates bereitgestellt (Anhang I Teil II Nr. 2).
- Sicherheitstests und -überprüfungen: [Häufigkeit und Methode] (Anhang I Teil II Nr. 3).
5. Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle
- Der Zeitpunkt der Kenntnisnahme wird mit seinem Nachweis erfasst. [Rolle] entscheidet, ob der Fall meldepflichtig ist, und unterzeichnet die Entscheidung.
- Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht 14 Tage nach Verfügbarkeit einer Korrektur (bei einem schwerwiegenden Vorfall ein Monat nach der Meldung), über die zentrale Meldeplattform der ENISA (Art. 14).
- Betroffene Nutzer werden über das Problem und die möglichen Maßnahmen informiert (Art. 14 Abs. 8). Vertretung der entscheidenden Person: [Name].
6. Updates verteilen und offenlegen
- Updates werden sicher, unverzüglich und kostenlos verteilt, mit einem Hinweis, der den Nutzern sagt, was zu tun ist (Anhang I Teil II Nr. 7 und 8).
- Sobald ein Update verfügbar ist, werden behobene Schwachstellen offengelegt: Beschreibung, betroffene Produkte, Auswirkungen, Schweregrad und Abhilfe (Anhang I Teil II Nr. 4). Format: [Hinweisseite / CSAF].
7. Aufzeichnungen
| Aufzeichnung | Wo | Aufbewahrt für |
|---|---|---|
| Schwachstellenfälle und Entscheidungen | [Jira-Projekt] | [10 Jahre] |
| An das CSIRT und die ENISA sowie an Nutzer gesendete Meldungen | [Jira / Confluence] | [10 Jahre] |
| SBOMs je Version | [Ablageort] | [10 Jahre oder Supportzeitraum] |
So nutzen Sie sie in Confluence
- Klicken Sie auf Vorlage kopieren, öffnen Sie eine neue Confluence-Seite und fügen Sie ein: Überschriften, Listen und Tabellen bleiben erhalten.
- Ersetzen Sie die Teile in [Klammern] und löschen Sie, was für Sie nicht gilt.
- Zur Wiederverwendung speichern Sie sie als Bereichsvorlage: Bereichseinstellungen › Vorlagen › Vorlage erstellen, dann einfügen.
Was die Vorlage Ihnen nicht abnimmt
Eine Richtlinie ist nur so gut wie die Aufzeichnungen dahinter. Der CRA erwartet, dass Sie Fall für Fall zeigen, wann Sie Kenntnis erlangt haben, was Sie entschieden und was Sie gesendet haben. Halten Sie diese Aufzeichnungen nah an der Arbeit: in Jira, am Vorgang der Schwachstelle.
Diese Seite hilft Ihnen beim Planen und Dokumentieren; sie ist keine Rechtsberatung. Prüfen Sie den offiziellen Text und die Vorgaben Ihrer Behörde. Quelle: Verordnung (EU) 2024/2847, Art. 13, Art. 14 und Anhang I Teil II. Siehe auch: SBOM-Anforderungen des CRA, Supportzeitraum nach dem CRA, Fristenrechner für Artikel 14.