CRA-Schwachstellenmanagement — Feststellung, Triage und Behebung
Ein Komponententreffer startet eine Untersuchung. Menschliche Triage bestimmt Relevanz und nächsten Schritt für das tatsächliche Produkt und Release.
Feststellungen und Entscheidungen trennen
Bewahren Sie Quelle, Abfragezeitpunkt, Komponente und Versionszuordnung auf. Dokumentieren Sie Betroffenheit, Unsicherheit der Ausnutzbarkeit und Prüfer. VEX ist eine belegte Entscheidung, keine automatische Ausnahme von Meldepflichten.
Behebung im Installationskontext
Weisen Sie Verantwortliche und Zieltermin zu, verknüpfen Sie Korrekturversion oder Backport und bewahren Sie Tests und Installationsnachweise auf. Eine verfügbare Korrektur ist nicht gleichbedeutend mit ihrer Verteilung an alle betroffenen Kunden.
Artikel-14-Eskalation
Prüfen Sie glaubwürdige Hinweise auf aktive Ausnutzung und Kriterien schwerwiegender Vorfälle unabhängig von Scanner-Schweregraden. Bewahren Sie Kenntniserlangung und Meldefristen. Ein niedriger CVSS-Wert ist keine rechtliche Nichtmeldeentscheidung.
Nächste Schritte
Offizielle Quellen und Prüfungskontext
Regulation (EU) 2024/2847 · European Commission · ENISA SRP
CRA-I18N-2026-10-14-DRAFT-4
Operative Werkzeuge und aufbewahrte Unterlagen. Es werden weder Rechtsgutachten noch Konformitätsbewertung, Zertifizierung oder Bestätigung der CRA-Konformität erstellt.