Berichte & Fristen

Ab dem 11. Sep 2026 verlangt CRA Artikel 14 von Herstellern die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle über die Single Reporting Platform (SRP) der ENISA. Resilic verfolgt die Fristen, entwirft die Inhalte und erzwingt die menschliche Unterschrift — es reicht nie etwas für Sie ein.

Ereignis anlegen — die Uhr gehört Ihnen

Ein meldepflichtiges Ereignis wird von einem Menschen angelegt, nie automatisch erzeugt. Ein aktiv ausgenutzter Treffer aus der Korrelation liefert einen Kandidaten; Sie überführen ihn (vorbefüllt mit CVE und betroffenen Versionen) und bestätigen oder korrigieren den Kenntniszeitpunkt — den rechtlich tragenden Zeitstempel, an dem die Kaskade hängt. Schwerwiegende Vorfälle legen Sie manuell an.

Fristen — die genaue Semantik

• 24h-Frühwarnung — fällig 24 Stunden nach Kenntnis.
• 72h-Meldung — fällig 72 Stunden nach Kenntnis.
• Abschlussbericht — der Anker hängt vom Typ ab:
  • Aktiv ausgenutzte Schwachstelle: fällig 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist (Art. 14(2)(c)) — nicht 14 Tage ab Kenntnis. Sie erfassen das Maßnahmendatum; bis dahin läuft für diese Stufe keine Uhr, und sie kann nie überfällig sein.
  • Schwerwiegender Vorfall: fällig einen Kalendermonat nach Übermittlung der 72h-Meldung (Art. 14(4)(c)) — nicht einen Monat ab Kenntnis.

Die Stufenfristen sind unabhängig: Ein verpasstes 24h-Fenster beseitigt die 72h-Pflicht nicht, und eine spätere Stufe kann übermittelt werden, während eine frühere überfällig ist. Resilic verschickt Fristerinnerungen per E-Mail, wenn ein Termin näher rückt.

Der Berichtseditor

Jede Stufe hat ihren eigenen Entwurf mit den Artikel-14-Inhaltskategorien dieser Stufe:

• Frühwarnung: Zusammenfassung, plus — soweit zutreffend — die Mitgliedstaaten, in denen das Produkt betroffen ist.
• Meldung: Zusammenfassung, betroffene Produkte, grenzüberschreitende Auswirkungen und die Abhilfemaßnahmen — sowohl die ergriffenen als auch die den Nutzern verfügbaren.
• Abschlussbericht: zusätzlich Schweregrad und Auswirkungen, dann je Typ — Sicherheitsupdate-Details und (soweit verfügbar) Angaben zu böswilligen Akteuren bei einer Schwachstelle; Grundursache und laufende Abhilfe bei einem Vorfall.

Mit KI generieren befüllt einen Entwurf, fundiert auf dem, was Resilic bereits weiß — CVE, betroffene Produkte und Auslieferungen, KEV-/CVSS-Daten. Generierte Inhalte sind als „KI-entworfen — Prüfung nötig“ markiert; jede Bearbeitung hält den Entwurf im Status Entwurf.

Freigabe, Export, Audit-Trail

• Freigeben verlangt eine ausdrückliche Bestätigung („Ich habe geprüft und übernehme die Verantwortung …“), hält fest, wer wann unterschrieben hat, und schließt diese Stufe der Kaskade in Resilic ab. Es wird dabei nichts an eine Behörde übermittelt — die Einreichung auf der SRP nehmen Sie selbst vor.

• Nur ein freigegebener Bericht kann exportiert werden. Der Export ist ein selbstbeschreibendes Artefakt (Format aegis.article14.v0). Sie laden es herunter und reichen es selbst auf der SRP ein.

  Das ist kein Behelf, sondern der vom Start an vorgesehene Weg. Die ENISA stellt zum Start ausdrücklich keine Programmierschnittstelle bereit — im FAQ zur SRP heißt es, dass „zu diesem Zeitpunkt keine Programmierschnittstellen bereitgestellt werden“. Die Meldung erfolgt über das Portal der SRP, mit einem EU-Login-Konto, das Sie vorab anlegen können. Eine automatische Übermittlung aus einem Fremdsystem gibt es am 11. September 2026 also für niemanden.

• Jeder Schritt — angelegt, generiert, bearbeitet, freigegeben — landet in einem nur anfügbaren Audit-Trail (Aktion, Person, Zeitstempel): der Nachweis, dass Sie die Pflicht erfüllt haben, und wer was unterschrieben hat.

Zusätzlich können Sie festhalten, wie betroffene Nutzer informiert wurden (Art. 14(8)) — über ein veröffentlichtes CSAF-Advisory oder einen beschriebenen Kanal. Für diesen Eintrag gibt es keine gesetzliche Frist, und Resilic erfindet nie eine; ein offenes Ereignis ohne den Eintrag zeigt eine ausstehende Aufgabe, nie „überfällig“.

Entwurfssprache

KI-Berichtsentwürfe sind standardmäßig in behördengerechtem Englisch — die ENISA Single Reporting Platform und nationale CSIRTs erwarten es. Über den Sprachumschalter neben der Generieren-Aktion können Sie stattdessen einen deutschen Entwurf erzeugen; der Export trägt die Sprache des unterschriebenen Inhalts. Security Advisories funktionieren genauso: Die Sprache wird bei der Erstellung festgelegt (Standard Englisch) und in das lang-Feld des CSAF-Dokuments übernommen.