Schwachstellenmeldung (72-Stunden-Meldung)
Binnen 72 Stunden ab Kenntnis ist die eigentliche Meldung fällig, gerechnet ab demselben Zeitpunkt wie die Frühwarnung. Sie beschreibt das Produkt, die Schwachstelle, die Ausnutzung und die geplanten Gegenmaßnahmen.
Schwachstellenmeldung (Vulnerability Notification) ist die zweite der drei Meldestufen nach Artikel 14. Sie ist binnen 72 Stunden ab Kenntnis fällig und enthält allgemeine Angaben zum Produkt, die Art der Schwachstelle und der Ausnutzung sowie ergriffene oder geplante Abhilfemaßnahmen.
Definition in der Verordnung
Nach Artikel 14 Absatz 2 Buchstabe b der Verordnung (EU) 2024/2847 übermittelt der Hersteller "unverzüglich und in jedem Fall innerhalb von 72 Stunden" nach Kenntnis eine Schwachstellenmeldung. Sie enthält allgemeine Informationen über das betroffene Produkt, die Art der Schwachstelle und der Ausnutzung, bereits ergriffene oder geplante Korrektur- oder Risikominderungsmaßnahmen und, soweit verfügbar, eine Einschätzung der Schwere. Für schwerwiegende Vorfälle regelt Artikel 14 Absatz 4 Buchstabe b die entsprechende Vorfallmeldung mit einer Erstbewertung. Nach Artikel 14 Absatz 6 kann das CSIRT danach einen Zwischenbericht anfordern.
Was das für Hersteller bedeutet
Die 72 Stunden laufen ab Kenntnis, parallel zur 24-Stunden-Frist, nicht im Anschluss an die Frühwarnung. Der Zähler auf der Meldeplattform der ENISA zeigt derzeit eine Fälligkeit 48 Stunden nach Absenden der Frühwarnung an; wer früh warnt, sieht dort eine zu frühe Fälligkeit, wer spät warnt, eine zu späte. Maßgeblich ist das Gesetz, nicht der Zähler. Auf der Plattform ist die 72-Stunden-Meldung ein Reiter derselben Meldung; Pflichtfelder sind allgemeine Informationen und der Zeitpunkt des Auftretens. Nur in dieser Stufe kann der Hersteller nach Artikel 16 Absatz 2 besondere außergewöhnliche Umstände geltend machen, damit das CSIRT die Weitergabe der Meldung an andere Staaten verzögert.