Single Point of Contact für Schwachstellen
Nutzer sollen den Hersteller direkt und schnell erreichen, auch um Schwachstellen zu melden. Artikel 13 Absatz 17 verlangt dafür eine zentrale Anlaufstelle, die leicht zu finden ist und in den Nutzerinformationen steht. Wie sie aussieht, bleibt dem Hersteller überlassen.
Single Point of Contact für Schwachstellen (SPoC, zentrale Anlaufstelle) ist die vom Hersteller benannte Stelle nach Artikel 13 Absatz 17, über die Nutzer direkt und schnell mit ihm kommunizieren und Schwachstellen des Produkts melden können.
Definition in der Verordnung
Artikel 13 Absatz 17 der Verordnung (EU) 2024/2847 verlangt eine zentrale Anlaufstelle, die es Nutzern ermöglicht, "direkt und schnell" mit dem Hersteller zu kommunizieren, "auch um die Meldung von Schwachstellen des Produkts mit digitalen Elementen zu erleichtern". Sie muss leicht ermittelbar sein und in die Informationen und Anleitungen für Nutzer nach Anhang II aufgenommen werden. Nutzer sollen ihr Kommunikationsmittel wählen können; die Anlaufstelle darf nicht nur aus automatisierten Werkzeugen bestehen. Daneben verlangt Anhang I Teil II Nummer 6 eine Kontaktadresse für die Meldung entdeckter Schwachstellen. Beide Pflichten gelten nach Artikel 71 Absatz 2 ab dem 11. Dezember 2027.
Was das für Hersteller bedeutet
Ein Kontaktformular allein reicht nach dem Wortlaut nicht, weil Nutzer das Mittel wählen sollen. Die BSI TR-03183-3 konkretisiert: Funktionspostfächer psirt@ und csirt@, ein Webformular mit anonymer Meldemöglichkeit, E-Mail und Telefon als Kontaktwege, Bearbeitung mindestens auf Englisch, und eine zentrale Meldeseite, die von der Startseite verlinkt und ohne Anmeldung nutzbar ist. Die Adresse gehört in die security.txt, in die Produktdokumentation und in die Nutzerinformationen nach Anhang II. Die Anlaufstelle ist nicht zu verwechseln mit dem koordinierenden CSIRT, an das der Hersteller selbst meldet; hier geht es um den Weg von außen zum Hersteller. Entscheidend ist, dass jemand die Eingänge liest, auch am Wochenende, denn aus einer Meldung über diese Stelle kann binnen Stunden eine Meldepflicht nach Artikel 14 werden.
Verwandte Begriffe
- security.txt
- Informationen und Anleitung für Nutzer (Anhang II)
- PSIRT
- Coordinated Vulnerability Disclosure (CVD)