Abschlussbericht
Mit dem Abschlussbericht endet die Meldung. Seine Frist hängt bei Schwachstellen nicht an der Kenntnis, sondern an der Abhilfe: 14 Tage, nachdem ein Update oder eine Gegenmaßnahme verfügbar ist. Bei Vorfällen ist es ein Monat nach der 72-Stunden-Meldung.
Abschlussbericht (Final Report) ist die dritte und letzte Meldestufe nach Artikel 14. Er beschreibt die Schwachstelle oder den Vorfall, die Schwere und Auswirkung, soweit bekannt die Angreifer und die getroffene Abhilfemaßnahme.
Definition in der Verordnung
Nach Artikel 14 Absatz 2 Buchstabe c der Verordnung (EU) 2024/2847 übermittelt der Hersteller den Abschlussbericht zu einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist. Er enthält eine Beschreibung der Schwachstelle einschließlich Schwere und Auswirkung, soweit verfügbar Informationen über den böswilligen Akteur und Angaben zum Sicherheitsupdate oder zur sonstigen Abhilfe. Bei einem schwerwiegenden Sicherheitsvorfall gilt Artikel 14 Absatz 4 Buchstabe c. Der Abschlussbericht ist innerhalb eines Monats nach der 72-Stunden-Meldung fällig und enthält eine Beschreibung des Vorfalls, Schwere und Auswirkung, die Art der Bedrohung oder Grundursache und die laufenden Abhilfemaßnahmen.
Was das für Hersteller bedeutet
Die beiden Fristen unterscheiden sich im Anker: Bei Schwachstellen startet die 14-Tage-Frist mit der Verfügbarkeit der Abhilfe, das Datum des Fixes ist also festzuhalten. Auf der Meldeplattform der ENISA ist der Abschlussbericht ein Reiter derselben Meldung; Pflichtfelder sind unter anderem das Verfügbarkeitsdatum der Maßnahme, Details zum Sicherheitsupdate, Maßnahmen für Nutzer und die vollständige Beschreibung von Schwere und Auswirkung. Nach dem Absenden ist die Meldung nicht mehr bearbeitbar; ein zu früh eingereichter Abschlussbericht lässt sich nicht korrigieren. Parallel verlangt Anhang I Teil II Nummer 4 ab dem 11. Dezember 2027, nach dem Update Informationen über die beseitigte Schwachstelle zu veröffentlichen.
Verwandte Begriffe
- Frühwarnung
- Schwachstellenmeldung (72-Stunden-Meldung)
- Sicherheitsupdate
- Sicherheitshinweis (Security Advisory)