Schwachstelle oder Vorfall — welcher Pfad gilt?

Ausschlaggebend ist nicht, ob eine Schwachstelle ausnutzbar wäre, sondern ob sie ausgenutzt wird. Die Verordnung stellt darauf ab, dass ein Akteur die Lücke ohne Erlaubnis des Systembetreibers oder Eigentümers tatsächlich verwendet.

Belastbare Hinweise sind zum Beispiel Angriffsspuren in Protokolldateien, ein öffentlich verfügbarer funktionierender Exploit in Verbindung mit passenden Auffälligkeiten oder ein Bericht eines betroffenen Kunden. Eine theoretische Ausnutzbarkeit ohne Hinweise auf tatsächliche Verwendung löst Artikel 14 nicht aus.

Der Abschlussbericht verlangt auf diesem Pfad zusätzlich Angaben, die es beim Vorfall nicht gibt: Schweregrad und Auswirkung, Details zum ausgelieferten Sicherheitsupdate und die Angabe, ob die Schwachstelle öffentlich bekannt gemacht und ob eine CVE-ID vergeben wurde.

Hier geht es um ein Ereignis mit negativer Auswirkung auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit — bezogen auf die Sicherheit des Produkts mit digitalen Elementen. Ob eine Schwachstelle die Ursache war, ist dafür zunächst zweitrangig.

Bereits in der Frühwarnung ist auf diesem Pfad anzugeben, ob nach dem Kenntnisstand des Herstellers ein rechtswidriger oder böswilliger Akt vorliegt. Wer das noch nicht beurteilen kann, gibt das an und reicht die Bewertung nach — verschweigen ist keine Option.

Der Abschlussbericht verlangt eine detaillierte Vorfallsbeschreibung, die Art der Bedrohung beziehungsweise die wahrscheinliche Ursache sowie laufende und abgeschlossene Gegenmaßnahmen.

Eine aktiv ausgenutzte Schwachstelle führt häufig zugleich zu einem Vorfall. Dann sind beide Tatbestände erfüllt, und weil sich die Fristen des Abschlussberichts unterscheiden, ist es sinnvoll, zwei getrennte Vorgänge zu führen statt einen zu verbiegen.

Bleibt die Einordnung offen, läuft die Uhr trotzdem. In dieser Lage ist die Frühwarnung fristgerecht abzusetzen und die Bewertung im Zwischenbericht nachzuschärfen. Eine Meldung, die sich später als nicht erforderlich herausstellt, ist folgenlos; eine unterlassene Meldung ist es nicht.