Eine aktiv ausgenutzte Schwachstelle aus Jira melden
Seit dem 11. September 2026 hat ein Hersteller, der erfährt, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird, 24 Stunden Zeit, um über die zentrale Meldeplattform der ENISA eine Frühwarnung zu senden. So entscheiden Sie, wer die Meldung erhält, was jeder Bericht enthält und wie Sie den Fall aus dem Jira-Vorgang führen, in dem die Schwachstelle bereits erfasst ist.
Wird sie aktiv ausgenutzt?
Der Cyber Resilience Act (Verordnung (EU) 2024/2847, Artikel 3 Nummer 42) definiert eine aktiv ausgenutzte Schwachstelle als eine Schwachstelle, für die zuverlässige Beweise vorliegen, dass ein böswilliger Akteur sie ohne Erlaubnis des Eigentümers in einem System ausgenutzt hat. Ein hoher Schweregrad ist kein Beweis für eine Ausnutzung, ein Proof of Concept ebenso wenig.
Halten Sie fest, worin der Beweis besteht, woher er stammt und wer ihn bewertet hat, zum Beispiel ein Kunde oder ein CSIRT, der einen Angriff über diese Lücke meldet, oder Ihre eigenen Protokolle. Die Entscheidung und der Zeitpunkt, zu dem Sie sie getroffen haben, gehören zu Ihrer Dokumentation.
Wer die Meldung erhält
Sie reichen eine einzige Meldung über die zentrale Meldeplattform der ENISA ein, die seit dem 11. September 2026 offen ist. Sie geht an das als Koordinator benannte CSIRT des Mitgliedstaats Ihrer Hauptniederlassung in der EU und gleichzeitig an die ENISA (Artikel 14 Absatz 7). Ohne Niederlassung in der EU legt Artikel 14 Absatz 7 die Reihenfolge fest: Ihr Bevollmächtigter, dann Ihr Einführer, dann Ihr Händler, dann das Land mit den meisten Ihrer Nutzer.
Jede Person, die meldet, braucht ein persönliches EU-Login-Konto mit Mehr-Faktor-Authentifizierung. Sorgen Sie dafür, dass sie es vor dem ersten Fall hat; auf der Plattform selbst sollen sich Hersteller laut ENISA registrieren, wenn sie etwas zu melden haben. Zum Start ist die Plattform nur auf Englisch verfügbar.
Die drei Berichte
Jede Frist beginnt, wenn Sie von der Ausnutzung Kenntnis erlangen, nicht erst am Ende Ihrer Analyse. Halten Sie diesen Zeitpunkt fest und wie Sie davon erfahren haben.
- Frühwarnung: innerhalb von 24 Stunden. Dass die Schwachstelle besteht und gegebenenfalls die Mitgliedstaaten, in denen das Produkt nach Ihrer Kenntnis bereitgestellt wurde.
- Schwachstellenmeldung: innerhalb von 72 Stunden. Allgemeine Informationen über das Produkt, die allgemeine Art der Ausnutzung und der Schwachstelle, die ergriffenen Korrektur- oder Risikominderungsmaßnahmen und diejenigen, die Nutzer ergreifen können, sowie wie sensibel Sie die Informationen einschätzen.
- Abschlussbericht: spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist. Eine Beschreibung der Schwachstelle mit Schweregrad und Auswirkungen, Informationen über den böswilligen Akteur, soweit verfügbar, und Einzelheiten zur Sicherheitsaktualisierung oder zu anderen Korrekturmaßnahmen.
Ein schwerwiegender Sicherheitsvorfall, der die Sicherheit Ihres Produkts beeinträchtigt, folgt denselben Schritten nach 24 und 72 Stunden, mit einem Abschlussbericht einen Monat nach der Meldung: siehe unseren Leitfaden zu CRA-Meldungen in Jira.
Ihre Nutzer informieren
Artikel 14 Absatz 8 verlangt außerdem, die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle und die Risikominderungs- oder Korrekturmaßnahmen zu informieren, die sie ergreifen können, gegebenenfalls in einem strukturierten, maschinenlesbaren Format. Ein CSAF-Sicherheitshinweis ist ein solches Format.
Vor dem ersten Fall: was bereitliegen sollte
- Eine SBOM für jede Version auf dem Markt, um in Minuten zu finden, welche Produkte die Komponente enthalten.
- Die Mitgliedstaaten, in denen jedes Produkt bereitgestellt wird, denn die Frühwarnung fragt danach.
- Wer meldet: EU-Login-Konten mit Mehr-Faktor-Authentifizierung und das CSIRT, das für Sie koordiniert.
- Eine Regel für die Entscheidung „aktiv ausgenutzt oder nicht“ und wer sie signiert.
- Ein Ort für den Fall: der Vorgang, in dem die Schwachstelle bereits erfasst ist, mit dem Zeitpunkt der Kenntnisnahme, jedem gesendeten Bericht, der Referenz der ENISA und der Behebung.
Schritt für Schritt aus Jira mit Clearlane CRA
- Öffnen Sie im Vorgang der Schwachstelle das CRA-Panel. Paket, CVE und betroffener Versionsbereich werden daraus gelesen, und die Produkte, deren SBOM die Komponente enthält, werden vorgeschlagen.
- Stufen Sie den Fall mit Ihrer Signatur ein: aktiv ausgenutzt oder nicht und seit wann Sie davon wissen. Die Fristen beginnen, und die Frühwarnung führt die für jedes Produkt erfassten Mitgliedstaaten auf.
- Übertragen Sie jeden vorbereiteten Bericht in die Plattform der ENISA und halten Sie dann fest, wann Sie ihn eingereicht haben und welche Referenz Sie erhalten haben. Die App reicht nie etwas in Ihrem Namen ein.
- Halten Sie die Behebung, die Information der Nutzer und den Sicherheitshinweis fest, mit einer CSAF-Datei als Anhang am Vorgang.
- Schließen Sie den Fall mit einer Signatur ab und bewahren Sie die PDF-Nachweisdatei bei Ihrer technischen Dokumentation auf.
Quellen: Verordnung (EU) 2024/2847, Artikel 3 Nummer 42, Artikel 14 und 71 (EUR-Lex); ENISA, FAQ zur Single Reporting Platform. Geprüft am 13. Oktober 2026.
Clearlane CRA hilft Herstellern, die Meldeanforderungen des Cyber Resilience Act zu erfüllen; Ihre eigene Bewertung bleibt erforderlich. So funktioniert Clearlane CRA →