ENISA Single Reporting Platform — operativer SRP-Leitfaden

Englische Plattform, deutschsprachige Vorbereitung

Die ENISA Single Reporting Platform (SRP) ist nach FAQ 24 weiterhin nur auf Englisch verfügbar. Übersetzte Informationsmaterialien sind keine deutsche Benutzeroberfläche. Dieser Leitfaden erklärt zentrale Felder auf Deutsch und lässt die englischen Originalbezeichnungen erkennbar. Er ist keine offizielle Übersetzung von ENISA.

Die Meldepflichten nach Artikel 14 CRA gelten seit dem 11. September 2026. Die FAQ und das Glossar erläutern die Bedienung der Plattform; sie sind kein zusätzlicher Rechtsakt. Prüfen Sie zuerst, ob eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall vorliegt. Ein Scannerfund oder eine CVE-Nummer allein entscheidet diese Frage nicht.

Drei Zeitpunkte getrennt dokumentieren

Dokumentieren Sie den Zeitpunkt der Kenntniserlangung, den bekannten oder geschätzten Eintrittszeitpunkt und den tatsächlichen Versand jeder Meldestufe getrennt. Erfassen Sie Datum, Uhrzeit, UTC beziehungsweise den ursprünglichen Zeitzonen-Offset, die begründende Information, die erfassende Person und die zugehörigen Nachweise. Kennzeichnen Sie Schätzungen ausdrücklich.

Für aktiv ausgenutzte Schwachstellen enthält Feld v26 weiterhin einen Widerspruch: Die Bezeichnung verweist auf Kenntnis vom aktiven Ausnutzen, die Beschreibung auf eine erste Erkennung der Schwachstelle. Fußnote [1] kündigt das Feld erst für eine spätere Plattformversion an. Setzen Sie die Erkennung einer Schwachstelle nicht automatisch mit Kenntnis ihrer aktiven Ausnutzung gleich. Für Vorfälle beschreibt Fußnote [2] eine abweichende Oberflächenbezeichnung für den Kenntniszeitpunkt.

Das Glossar v1.5 enthält 42 Felder: die Nummerierung 1–41 und zusätzlich v26a. Feld v26a erfasst den bekannten oder geschätzten Eintrittszeitpunkt der aktiv ausgenutzten Schwachstelle. Es ist bei der Frühwarnung optional, bei der 72-Stunden-Meldung erforderlich und wird beim Abschlussbericht standardmäßig übernommen oder aktualisiert. Es ersetzt nicht den Kenntniszeitpunkt und ändert nicht den Ausgangspunkt der gesetzlichen Fristen.

Gesetzliche Frist und SRP-Anzeige sind nicht derselbe Zähler

Artikel 14 verlangt die Frühwarnung und die nachfolgende Meldung unverzüglich, spätestens innerhalb von 24 beziehungsweise 72 Stunden nach der maßgeblichen Kenntniserlangung. Diese Höchstfristen sind keine Warteempfehlung. Berechnen Sie sie aus dem dokumentierten Kenntniszeitpunkt, nicht aus dem Eintrittszeitpunkt oder dem Versand der Frühwarnung.

Die Frist für den Abschlussbericht hat einen eigenen Anknüpfungspunkt: Bei aktiv ausgenutzten Schwachstellen grundsätzlich spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme; bei schwerwiegenden Vorfällen innerhalb eines Monats nach der Vorfallsmeldung. Die Voraussetzungen und Berichtsinhalte sind anhand von Artikel 14 zu prüfen.

Beispiel: Warum SRP zu früh eine Überschreitung anzeigen kann

FAQ 26 beschreibt für die aktuelle SRP-Version einen 72-Stunden-Zähler, der 48 Stunden nach Versand der Frühwarnung endet. Das ist nicht immer derselbe Zeitpunkt wie 72 Stunden nach Kenntniserlangung. Die angekündigte spätere Korrektur darf nicht als bereits ausgelieferte Funktion behandelt werden.

Synthetisches Beispiel in UTC: Kenntniserlangung am 16.10.2026 um 09:00, Frühwarnung um 10:00. Die gesetzliche 72-Stunden-Höchstfrist endet am 19.10. um 09:00. Der beschriebene SRP-Zähler zeigt dagegen den 18.10. um 10:00 — 23 Stunden früher. Speichern Sie beide Zeitpunkte und einen Screenshot der Anzeige. Die Anzeige verkürzt die gesetzliche Frist nicht; eine spätere Plattformanzeige würde sie auch nicht verlängern.

Meldung vorbereiten und manuell übergeben

Ordnen Sie die Meldung dem betroffenen Produkt und der konkreten Version zu. Bereiten Sie die bekannten Fakten für Early Warning, 72-hour Notification und Final Report vor. Trennen Sie bestätigte Tatsachen von offenen Fragen, vermerken Sie fehlende Informationen und prüfen Sie die aktuelle Pflichtfeldmatrix für die jeweilige Meldestufe. Ein kopiertes Feld muss vor dem Versand im aktuellen SRP-Formular geprüft werden.

Halten Sie intern fest, warum der ausgewählte CSIRT Designated as Coordinator zuständig ist, und bewahren Sie die dafür verwendeten Nachweise auf. Planen Sie die verantwortliche Person und die Übergabe an eine Vertretung. Eine technische Vorbereitung im Workspace ist noch keine Übermittlung an ENISA oder einen CSIRT.

Nach der manuellen Übermittlung erfassen Sie die tatsächliche Versandzeit, die SRP-Referenz, die handelnde Person und den Übermittlungsnachweis. Ein operativ vorbereitetes Submission Pack bestätigt weder die rechtliche Erforderlichkeit noch die Vollständigkeit oder Annahme der Meldung. Auch Validierung, Rückfragen und gegebenenfalls erforderliche Korrekturen müssen weiterverfolgt werden.

Fehler nicht durch Löschen der internen Historie verdecken

Nach FAQ 34 kann nur der zuständige CDaC eine versehentlich versandte Meldung schließen. Kontaktieren Sie den zuständigen CSIRT beziehungsweise verwenden Sie die vorgesehene zusätzliche Notiz im SRP. Das Löschen eines lokalen Entwurfs nimmt eine bereits versandte Meldung nicht zurück und setzt keine gesetzliche Frist neu in Gang.

Bewahren Sie den ursprünglichen Datensatz, spätere Korrekturen und die Kommunikation mit dem CSIRT nachvollziehbar auf. Dieser Leitfaden unterstützt die interne Organisation; die Entscheidung über die konkrete Meldepflicht und die korrekten Angaben bleibt beim Hersteller.