24-Stunden-Übung
Eine Komponente Ihres Produkts ist gerade im CISA-KEV-Katalog erschienen. Üben Sie die ersten Tage der Reaktion nach Artikel 14 gegen eine beschleunigte Uhr: über die Kenntniserlangung entscheiden, das koordinierende CSIRT wählen, Frühwarnung und 72-Stunden-Meldung in den Feldern der Plattform ausfüllen, dann die Entscheidungen danach. Am Ende gibt es eine Bewertung von 0 bis 100.
Übungszeit
Router-Firmware: BIND-Resolver
- Hersteller
- Nordwind Networks GmbH
- Organisation
- Hauptsitz und Produktsicherheitsteam in Linz, Österreich. Entwicklungszentrum in München; die meisten Kunden sitzen in Deutschland.
- Produkt
- NW-R200 router, firmware 4.2 and 4.3
- Komponente
- ISC BIND 9.16.23
- Erhältlich in
- AT, DE, IT, SI
- Signal
- Tag 1, 09:00 UTC. CISA nimmt CVE-2099-1001 in den Known-Exploited-Vulnerabilities-Katalog auf: Präparierte DNS-Antworten bringen den BIND-Resolver zum Absturz und können Code auf dem Gerät ausführen. Ihr SBOM führt die betroffene Version in beiden Firmware-Releases.
Industrie-Gateway: OpenSSL
- Hersteller
- Polderlink Industrial B.V.
- Organisation
- Hauptsitz, Entwicklung und Produktsicherheit in Eindhoven, Niederlande. Vertriebsbüro in Düsseldorf.
- Produkt
- PL-G5 industrial IoT gateway, 2.0 to 2.3
- Komponente
- OpenSSL 3.0.7
- Erhältlich in
- NL, BE, DE, PL
- Signal
- Tag 1, 09:00 UTC. CISA nimmt CVE-2099-2002 in den Known-Exploited-Vulnerabilities-Katalog auf: Ein fehlerhaftes Zertifikat im TLS-Handshake beschädigt den Speicher in OpenSSL und wird gegen exponierte Geräte eingesetzt. Der Fernwartungsport Ihres Gateways läuft mit der betroffenen Version.
Verwaltungsoberfläche: Web-Framework
- Hersteller
- Arvel Stockage SAS
- Organisation
- Hauptsitz und Produktsicherheit in Lyon, Frankreich. Support-Team in Barcelona; Kunden in der ganzen EU.
- Produkt
- ArvelBox NAS, management interface 5.1
- Komponente
- Django 3.2.12
- Erhältlich in
- FR, ES, IT, BE, LU
- Signal
- Tag 1, 09:00 UTC. CISA nimmt CVE-2099-3003 in den Known-Exploited-Vulnerabilities-Katalog auf: Anfragen an die Admin-Routen des Frameworks umgehen die Authentifizierung. Ihre Verwaltungsoberfläche basiert auf der betroffenen Version und ist oft aus dem Internet erreichbar.
1. Über die Kenntniserlangung entscheiden
Ihr SBOM passt zum Eintrag. Bevor die Frist läuft, bewerten Sie: Ist der verwundbare Code in Ihrem Build, kann ein Angreifer ihn erreichen, ist die Ausnutzung real?
Hinreichende Gewissheit nach einer ersten Bewertung, gemäß Kommissionsleitlinie C(2026) 5252 §213. Nicht die Veröffentlichung der CVE.
2. Das koordinierende CSIRT wählen
Die Frühwarnung geht über die Single Reporting Platform an das als Koordinator benannte CSIRT und an die ENISA. Welchen Koordinator wählen Sie für dieses Unternehmen?
3. Die Frühwarnung ausfüllen
Die Felder der Plattform für eine aktiv ausgenutzte Schwachstelle, in ihrer Reihenfolge und mit ihren Grenzen. Füllen Sie die Pflichtfelder aus; kennzeichnen Sie Schätzungen.
ENISA CRA SRP Glossary v1.6 (21 October 2026) · SRP-Feldreferenz
Vulnerability or Incident
Short, specific: product + vulnerability/incident. No confidential technical detail. (max 255)
What is affected, what is known now, what you are doing. Facts only; mark estimates. State when you became aware. (max 4000)
System-generated from SRP registration — must match. (max 255)
Art. 14(2)(a)/(4)(a). Your coordinating CSIRT's state is auto-added; add all others you know of.
(max 255)
All affected versions or a range. (max 255)
When you reached a reasonable degree of certainty (Commission guidance C(2026) 5252 §213). If estimated, say so in the summary. Asked on the early warning only; it starts your 24h and 72h clocks and the evidence trail records it.
Optionale Felder in diesem Schritt (21)
About the manufacturer: anything the standard fields do not cover that helps your coordinating CSIRT identify you, for example the group you belong to. Facts only. (max 255)
Default / Important / Critical (Annex III/IV)
Class I / Class II (important products only)
Annex III/IV category name, if applicable.
Is the product past its support period?
Affected third-party or open-source component and version. (max 255)
Is a corrective/mitigating measure expected in the near term?
Concrete steps users can take now. (max 4000)
Art. 14(2)(b)/(4)(b): your assessment of how sensitive the notified information is. (max 255)
What the manufacturer has done so far. (max 2000)
Updates, configuration changes, workarounds. (max 4000)
Free-text note from the Assigned Representative for anything no structured field covers. Use a structured field whenever one fits.
(max 255)
ENISA European Vulnerability Database id, if known. (max 255)
Art. 14(2)(b): general nature of the exploit and of the vulnerability. No unverified attribution. (max 4000)
Starts the 14-day final-report clock (Art. 14(2)(c)).
Art. 14(2)(c): what the update or measure is, which versions carry it, how users obtain it. (max 2000)
Rating (e.g. CVSS), classification (CWE), rationale. (max 4000)
Systems, components, data and users affected. (max 4000)
Known or estimated date and time since when the vulnerability exists. Asked on the early warning and carried to the 72-hour notification, where you can update it. If you estimate, say so.
Art. 14(2)(c)(ii). Mark unconfirmed. (max 100)
4. Die 72-Stunden-Meldung einreichen
Zwei Tage später. Ihre Ingenieure haben den Angriff nachgestellt und den Kunden eine Konfigurations-Umgehung gegeben; der Upstream-Fix ist noch nicht da. Die 72-Stunden-Meldung ergänzt die allgemeine Art der Schwachstelle und des Exploits und wann die Schwachstelle entstanden ist.
Aus Ihrer Frühwarnung übernommen; aktualisieren Sie sie auf der Plattform, falls sich etwas geändert hat: Date and time when the Actively Exploited Vulnerability occurred (UTC time)
Art. 14(2)(b): general nature of the exploit and of the vulnerability. No unverified attribution. (max 4000)
Optionale Felder in diesem Schritt (13)
Art. 14(2)(b)/(4)(b): your assessment of how sensitive the notified information is. (max 255)
What the manufacturer has done so far. (max 2000)
Updates, configuration changes, workarounds. (max 4000)
E.g. network / adjacent / local / physical; protocol or interface. Not asked on the early warning. (max 255)
Free-text note from the Assigned Representative for anything no structured field covers. Use a structured field whenever one fits.
Starts the 14-day final-report clock (Art. 14(2)(c)).
Art. 14(2)(c): what the update or measure is, which versions carry it, how users obtain it. (max 2000)
Rating (e.g. CVSS), classification (CWE), rationale. (max 4000)
Systems, components, data and users affected. (max 4000)
Art. 14(2)(c)(ii). Mark unconfirmed. (max 100)
Art. 16(2) third subpara. Only at 72h. Restricts dissemination; justify below.
Tick at least one ground (Art. 16(2) third subparagraph): exploited in no Member State other than your coordinating CSIRT's; further dissemination contrary to that Member State's essential interests; or an imminent high cybersecurity risk from further dissemination.
Shown once PEC is on: the facts that support your PEC request, for the coordinating CSIRT's decision. Free text. (max 800)
5. Nutzer informieren, und den Upstream-Maintainer
6. Der Fix und der Abschlussbericht
Tag 5: Der Maintainer veröffentlicht eine korrigierte Version. Tag 6, 10:00 UTC: Ihr Update mit dieser Version steht allen Kunden zur Verfügung. Wann ist der Abschlussbericht fällig?
Ihre Bewertung
0/ 100
Was gut lief, und was zu verbessern ist
Kenntniserlangung anhand der Fakten entschieden
0 / 15
Sie haben die Kenntniserlangung nach einer kurzen Bewertung Ihres eigenen Builds bestätigt. Diese Entscheidung startet die 24-Stunden-Frist.
Kenntnis ist ein hinreichender Grad an Gewissheit nach einer ersten Bewertung (Kommissionsleitlinie §213): nicht die Veröffentlichung der CVE, nicht die Beschwerde eines Kunden, nicht der Fix. Legen Sie fest, wer das entscheidet, und halten Sie den Zeitpunkt fest.
Koordinierendes CSIRT
0 / 10
Richtig: das als Koordinator benannte CSIRT des Mitgliedstaats Ihrer Hauptniederlassung (Art. 14(7)).
Koordinator ist das CSIRT des Mitgliedstaats Ihrer Hauptniederlassung, wo die Entscheidungen über die Cybersicherheit Ihrer Produkte überwiegend getroffen werden (Art. 14(7)). Nicht dort, wo die meisten Kunden sind, nicht die ENISA, nicht jedes CSIRT einzeln: Der Koordinator leitet die Meldung an die anderen betroffenen Mitgliedstaaten weiter.
Frühwarnung: Pflichtfelder
0 / 15
Alle Pflichtfelder der Frühwarnung waren ausgefüllt.
Pflichtfelder waren leer. Ohne sie nimmt die Plattform die Frühwarnung nicht an, und ein leeres Formular in Stunde 23 ist der Weg, Fristen zu verpassen. Halten Sie Hersteller, Produkt, Versionen und Märkte bereit, bevor Sie sie brauchen.
Zeitpunkt der Kenntniserlangung eingetragen
0 / 5
Sie haben den Zeitpunkt der Kenntniserlangung als Datum und Uhrzeit eingetragen. Das Feld der Plattform dafür ist auf der Frühwarnung Pflicht, und das Gesetz zählt Ihre Fristen ab diesem Zeitpunkt.
Tragen Sie den Zeitpunkt der Kenntniserlangung als Datum und Uhrzeit in UTC in das Feld dafür ein. Es ist auf der Frühwarnung Pflicht, und der Zähler der Plattform misst nicht ab diesem Zeitpunkt.
Frühwarnung innerhalb von 24 Stunden
0 / 15
Innerhalb von 24 Stunden nach der Kenntniserlangung eingereicht (Art. 14(2)(a)).
Zu spät. Die Frühwarnung ist 24 Stunden nach der Kenntniserlangung fällig (Art. 14(2)(a)). Sie darf knapp sein: Reichen Sie ein, was Sie wissen, kennzeichnen Sie Schätzungen und überlassen Sie die Details der 72-Stunden-Meldung.
72-Stunden-Meldung: Pflichtfelder
0 / 10
Alle Pflichtfelder der 72-Stunden-Meldung waren ausgefüllt.
Pflichtfelder waren leer. Bei Schwachstellen verlangt die 72-Stunden-Meldung die allgemeine Art der Schwachstelle und des Exploits.
72-Stunden-Meldung innerhalb von 72 Stunden
0 / 10
Innerhalb von 72 Stunden nach der Kenntniserlangung eingereicht (Art. 14(2)(b)), was auch immer der Zähler der Plattform anzeigte.
Zu spät. Die gesetzliche Frist beträgt 72 Stunden ab Kenntniserlangung (Art. 14(2)(b)). Der Zähler der Plattform zeigt eine Fälligkeit 48 Stunden nach Ihrer Frühwarnung; nehmen Sie ihn als Erinnerung, das Gesetz zählt ab Kenntniserlangung.
Betroffene Nutzer informiert
0 / 8
Die Nutzer erfahren es jetzt, mit dem, was sie tun können (Art. 14(8)). Der Fix muss dafür nicht schon existieren.
Art. 14(8): Informieren Sie nach der Kenntniserlangung die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle und die Maßnahmen, die sie ergreifen können. Auf den Fix zu warten ist nicht die Regel, und dass das CSIRT sie informiert, ist der Ausweg, wenn Sie es nicht tun.
Maintainer der Komponente
0 / 5
Sie haben den Upstream-Schritt erledigt (Art. 13(6)). Bei einer öffentlichen, bekannt ausgenutzten CVE ist „nicht nötig“ eine gute Antwort, solange Sie es festhalten.
Art. 13(6): Melden Sie eine Schwachstelle, die Sie in einer integrierten Komponente feststellen, demjenigen, der die Komponente wartet. Ist sie bereits öffentlich, halten Sie fest, dass keine Meldung nötig ist. So oder so: entscheiden und aufschreiben.
Frist für den Abschlussbericht
0 / 7
Richtig: 14 Tage, nachdem die Korrekturmaßnahme verfügbar war (Art. 14(2)(c)).
Bei einer aktiv ausgenutzten Schwachstelle ist der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme fällig (Art. 14(2)(c)). Einen Monat nach der Meldung gilt für schwerwiegende Sicherheitsvorfälle (Art. 14(4)(c)).
Dieselbe Übung mit Ihrem eigenen SBOM
In ExploitClock eröffnet eine Übung einen Fall zu Ihrem eigenen Produkt: echte Fristen, aus Ihrem SBOM und Ihren Einstellungen vorausgefüllte Entwürfe, Alarme an Ihre Kanäle, die Nachweiskette und eine Bewertung mit Auswertungsbericht.