PSIRT

PSIRT (Product Security Incident Response Team) ist das Team eines Herstellers, das Schwachstellenmeldungen zu den eigenen Produkten annimmt, bewertet, behebt und veröffentlicht. Es ist das Gegenstück zum CSIRT, das sich um die eigene IT-Infrastruktur kümmert.

Definition in der Verordnung

Der Begriff wird in der Verordnung nicht eigens definiert, und die Verordnung (EU) 2024/2847 verlangt auch kein Team mit diesem Namen. Sie verlangt die Aufgaben: Nach Anhang I Teil II müssen Hersteller Schwachstellen unverzüglich behandeln und beheben (Nummer 2), eine Strategie zur koordinierten Offenlegung aufstellen (Nummer 5) und eine Kontaktadresse für Schwachstellenmeldungen angeben (Nummer 6). Nach Artikel 14 müssen sie aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden. Die BSI TR-03183-3 macht daraus eine Organisationsvorgabe: mindestens zwei Rollen, PSIRT für Produkte und Dienste und CSIRT für die eigene Infrastruktur, mit Funktionspostfächern psirt@ und csirt@. Außer bei Kleinstunternehmen sollen das nicht dieselben Personen sein.

Was das für Hersteller bedeutet

Ein Mittelständler braucht kein eigenes Team, aber benannte Rollen mit Vertretung: jemanden, der das Postfach liest, jemanden, der eine Meldung technisch einordnet, und jemanden, der die Behördenmeldung einreichen darf. Das FIRST PSIRT Services Framework beschreibt dafür ein verteiltes Modell, in dem bestehende Rollen die PSIRT-Aufgaben übernehmen. Wichtig ist die Weiche zwischen "Meldung eingegangen" und "Ausnutzung bestätigt", weil daran der Beginn der 24-Stunden-Frist hängt. Die TR verlangt außerdem, dass kein einzelner Analyst eine Meldung allein schließt.

Verwandte Begriffe

• CSIRT
• security.txt
• Coordinated Vulnerability Disclosure (CVD)
• Single Point of Contact für Schwachstellen
• Kenntnis (Fristbeginn)

Vertiefung

• PSIRT im Mittelstand: Schwachstellenmeldungen annehmen, bewerten, beantwortenRollen, Abläufe und Fristen für Hersteller ohne eigenes Sicherheitsteam.