Esercitazione 24 ore
Un componente del Suo prodotto è appena comparso nel catalogo CISA KEV. Provi i primi giorni della risposta prevista dall'articolo 14 contro un orologio accelerato: decidere la conoscenza, scegliere il CSIRT coordinatore, compilare il preallarme e la notifica delle 72 ore nei campi della piattaforma, poi le decisioni successive. Alla fine, un punteggio su 100.
Ora dell'esercitazione
Firmware del router: resolver BIND
- Fabbricante
- Nordwind Networks GmbH
- Organizzazione
- Sede centrale e team di sicurezza di prodotto a Linz, Austria. Centro di sviluppo a Monaco di Baviera; la maggior parte dei clienti è in Germania.
- Prodotto
- NW-R200 router, firmware 4.2 and 4.3
- Componente
- ISC BIND 9.16.23
- Disponibile in
- AT, DE, IT, SI
- Segnale
- Giorno 1, 09:00 UTC. CISA aggiunge CVE-2099-1001 al catalogo Known Exploited Vulnerabilities: risposte DNS manipolate bloccano il resolver BIND e possono eseguire codice sul dispositivo. Il Suo SBOM elenca la versione interessata in entrambe le release del firmware.
Gateway industriale: OpenSSL
- Fabbricante
- Polderlink Industrial B.V.
- Organizzazione
- Sede centrale, ingegneria e sicurezza di prodotto a Eindhoven, Paesi Bassi. Ufficio commerciale a Düsseldorf.
- Prodotto
- PL-G5 industrial IoT gateway, 2.0 to 2.3
- Componente
- OpenSSL 3.0.7
- Disponibile in
- NL, BE, DE, PL
- Segnale
- Giorno 1, 09:00 UTC. CISA aggiunge CVE-2099-2002 al catalogo Known Exploited Vulnerabilities: un certificato malformato nell'handshake TLS corrompe la memoria di OpenSSL e viene usato contro dispositivi esposti. La porta di gestione remota del Suo gateway usa la versione interessata.
Interfaccia di gestione: framework web
- Fabbricante
- Arvel Stockage SAS
- Organizzazione
- Sede centrale e sicurezza di prodotto a Lione, Francia. Team di assistenza a Barcellona; clienti in tutta l'UE.
- Prodotto
- ArvelBox NAS, management interface 5.1
- Componente
- Django 3.2.12
- Disponibile in
- FR, ES, IT, BE, LU
- Segnale
- Giorno 1, 09:00 UTC. CISA aggiunge CVE-2099-3003 al catalogo Known Exploited Vulnerabilities: le richieste alle route di amministrazione del framework aggirano l'autenticazione. La Sua interfaccia di gestione si basa sulla versione interessata ed è spesso raggiungibile da Internet.
1. Decidere la conoscenza
Il Suo SBOM corrisponde alla voce. Prima che il termine decorra, Lei valuta: il codice vulnerabile è nella Sua build, un attaccante può raggiungerlo, lo sfruttamento è reale?
Ragionevole certezza dopo una prima valutazione, secondo gli orientamenti della Commissione C(2026) 5252 §213. Non la data di pubblicazione del CVE.
2. Scegliere il CSIRT coordinatore
Il preallarme va al CSIRT designato come coordinatore, e a ENISA, tramite la Single Reporting Platform. Quale coordinatore sceglie per questa azienda?
3. Compilare il preallarme
I campi della piattaforma per una vulnerabilità attivamente sfruttata, nel suo ordine e con i suoi limiti. Compili ciò che è obbligatorio; segnali le stime.
ENISA CRA SRP Glossary v1.6 (21 October 2026) · Riferimento dei campi SRP
Vulnerability or Incident
Short, specific: product + vulnerability/incident. No confidential technical detail. (max 255)
What is affected, what is known now, what you are doing. Facts only; mark estimates. State when you became aware. (max 4000)
System-generated from SRP registration — must match. (max 255)
Art. 14(2)(a)/(4)(a). Your coordinating CSIRT's state is auto-added; add all others you know of.
(max 255)
All affected versions or a range. (max 255)
When you reached a reasonable degree of certainty (Commission guidance C(2026) 5252 §213). If estimated, say so in the summary. Asked on the early warning only; it starts your 24h and 72h clocks and the evidence trail records it.
Campi facoltativi di questa fase (21)
About the manufacturer: anything the standard fields do not cover that helps your coordinating CSIRT identify you, for example the group you belong to. Facts only. (max 255)
Default / Important / Critical (Annex III/IV)
Class I / Class II (important products only)
Annex III/IV category name, if applicable.
Is the product past its support period?
Affected third-party or open-source component and version. (max 255)
Is a corrective/mitigating measure expected in the near term?
Concrete steps users can take now. (max 4000)
Art. 14(2)(b)/(4)(b): your assessment of how sensitive the notified information is. (max 255)
What the manufacturer has done so far. (max 2000)
Updates, configuration changes, workarounds. (max 4000)
Free-text note from the Assigned Representative for anything no structured field covers. Use a structured field whenever one fits.
(max 255)
ENISA European Vulnerability Database id, if known. (max 255)
Art. 14(2)(b): general nature of the exploit and of the vulnerability. No unverified attribution. (max 4000)
Starts the 14-day final-report clock (Art. 14(2)(c)).
Art. 14(2)(c): what the update or measure is, which versions carry it, how users obtain it. (max 2000)
Rating (e.g. CVSS), classification (CWE), rationale. (max 4000)
Systems, components, data and users affected. (max 4000)
Known or estimated date and time since when the vulnerability exists. Asked on the early warning and carried to the 72-hour notification, where you can update it. If you estimate, say so.
Art. 14(2)(c)(ii). Mark unconfirmed. (max 100)
4. Trasmettere la notifica delle 72 ore
Due giorni dopo. I Suoi ingegneri hanno riprodotto l'attacco e dato ai clienti una soluzione temporanea di configurazione; la correzione upstream non è ancora uscita. La notifica delle 72 ore aggiunge la natura generale della vulnerabilità e dell'exploit, e quando si è verificata la vulnerabilità.
Ripresi dal Suo preallarme; li aggiorni sulla piattaforma se qualcosa è cambiato: Date and time when the Actively Exploited Vulnerability occurred (UTC time)
Art. 14(2)(b): general nature of the exploit and of the vulnerability. No unverified attribution. (max 4000)
Campi facoltativi di questa fase (13)
Art. 14(2)(b)/(4)(b): your assessment of how sensitive the notified information is. (max 255)
What the manufacturer has done so far. (max 2000)
Updates, configuration changes, workarounds. (max 4000)
E.g. network / adjacent / local / physical; protocol or interface. Not asked on the early warning. (max 255)
Free-text note from the Assigned Representative for anything no structured field covers. Use a structured field whenever one fits.
Starts the 14-day final-report clock (Art. 14(2)(c)).
Art. 14(2)(c): what the update or measure is, which versions carry it, how users obtain it. (max 2000)
Rating (e.g. CVSS), classification (CWE), rationale. (max 4000)
Systems, components, data and users affected. (max 4000)
Art. 14(2)(c)(ii). Mark unconfirmed. (max 100)
Art. 16(2) third subpara. Only at 72h. Restricts dissemination; justify below.
Tick at least one ground (Art. 16(2) third subparagraph): exploited in no Member State other than your coordinating CSIRT's; further dissemination contrary to that Member State's essential interests; or an imminent high cybersecurity risk from further dissemination.
Shown once PEC is on: the facts that support your PEC request, for the coordinating CSIRT's decision. Free text. (max 800)
5. Informare gli utenti, e il manutentore upstream
6. La correzione e la relazione finale
Giorno 5: il manutentore pubblica una versione corretta. Giorno 6, 10:00 UTC: il Suo aggiornamento che la contiene è disponibile per tutti i clienti. Quando scade la relazione finale?
Il Suo punteggio
0/ 100
Che cosa è andato bene, e che cosa correggere
Conoscenza decisa sui fatti
0 / 15
Ha confermato la conoscenza dopo una breve valutazione della Sua build. Quella decisione avvia il termine delle 24 ore.
La conoscenza è un ragionevole grado di certezza dopo una prima valutazione (orientamenti della Commissione §213): non la pubblicazione del CVE, non il reclamo di un cliente, non la correzione. Stabilisca chi lo decide e registri quando.
CSIRT coordinatore
0 / 10
Esatto: il CSIRT designato come coordinatore nello Stato membro del Suo stabilimento principale (Art. 14(7)).
Il coordinatore è il CSIRT dello Stato membro del Suo stabilimento principale, dove sono prese prevalentemente le decisioni sulla cibersicurezza dei Suoi prodotti (Art. 14(7)). Non dove si trova la maggior parte dei clienti, non ENISA, non ogni CSIRT separatamente: il coordinatore trasmette la notifica agli altri Stati membri interessati.
Preallarme: campi obbligatori
0 / 15
Tutti i campi obbligatori del preallarme erano compilati.
Alcuni campi obbligatori erano vuoti. La piattaforma non accetta il preallarme senza di essi, e un modulo vuoto alla ventitreesima ora è il modo in cui si mancano le scadenze. Tenga pronti fabbricante, prodotto, versioni e mercati prima che servano.
Momento della conoscenza inserito
0 / 5
Ha inserito quando è venuto a conoscenza, con data e ora. Il campo della piattaforma per questo è obbligatorio nel preallarme, e la legge conta i Suoi termini da quell'istante.
Inserisca il momento in cui è venuto a conoscenza nel campo apposito, con data e ora in UTC. È obbligatorio nel preallarme, e il contatore della piattaforma non misura da quell'istante.
Preallarme entro 24 ore
0 / 15
Trasmesso entro 24 ore dalla conoscenza (Art. 14(2)(a)).
In ritardo. Il preallarme scade 24 ore dopo la conoscenza (Art. 14(2)(a)). Può essere essenziale: trasmetta ciò che sa, segnali le stime e lasci i dettagli alla notifica delle 72 ore.
Notifica delle 72 ore: campi obbligatori
0 / 10
Tutti i campi obbligatori della notifica delle 72 ore erano compilati.
Alcuni campi obbligatori erano vuoti. Per le vulnerabilità, la notifica delle 72 ore chiede la natura generale della vulnerabilità e dell'exploit.
Notifica delle 72 ore entro 72 ore
0 / 10
Trasmessa entro 72 ore dalla conoscenza (Art. 14(2)(b)), qualunque cosa mostrasse il contatore della piattaforma.
In ritardo. Il termine di legge è di 72 ore dalla conoscenza (Art. 14(2)(b)). Il contatore della piattaforma mostra una scadenza 48 ore dopo il Suo preallarme; lo consideri un promemoria, la legge conta dalla conoscenza.
Utilizzatori interessati informati
0 / 8
Gli utenti lo sanno subito, con ciò che possono fare (Art. 14(8)). La correzione non deve esistere prima.
Art. 14(8): dopo essere venuti a conoscenza, informi gli utilizzatori interessati e, se del caso, tutti gli utilizzatori della vulnerabilità e delle misure che possono adottare. Aspettare la correzione non è la regola, e l'informazione da parte del CSIRT è il rimedio quando Lei non lo fa.
Maintainer del componente
0 / 5
Ha compiuto il passo upstream (Art. 13(6)). Per un CVE pubblico e noto come sfruttato, «non necessario» è una buona risposta, purché venga registrata.
Art. 13(6): segnali una vulnerabilità individuata in un componente integrato a chi lo mantiene. Se è già pubblica, registri che non serve alcuna segnalazione. In ogni caso, decida e lo metta per iscritto.
Scadenza della relazione finale
0 / 7
Esatto: 14 giorni dopo la messa a disposizione della misura correttiva (Art. 14(2)(c)).
Per una vulnerabilità attivamente sfruttata la relazione finale scade al più tardi 14 giorni dopo la messa a disposizione di una misura correttiva o di attenuazione (Art. 14(2)(c)). Un mese dopo la notifica è la regola per gli incidenti gravi (Art. 14(4)(c)).
La stessa esercitazione sul Suo SBOM
In ExploitClock un'esercitazione apre un caso sul Suo prodotto: termini reali, bozze precompilate dal Suo SBOM e dalle impostazioni, avvisi sui Suoi canali, la catena delle prove e un punteggio con un rapporto post-esercitazione.