Glossar

Resilic arbeitet mit Begriffen aus der Schwachstellenwelt, die im Maschinenbau nicht selbstverständlich sind. Hier steht, was sie bedeuten, wer dahintersteht und wo der Begriff in Resilic auftaucht. Die Fachbegriffe selbst werden nicht übersetzt, weil Datenbanken, Normen und Lieferanten sie genau so verwenden.

Schwachstellen und Kennungen

CVE (Common Vulnerabilities and Exposures) ist die weltweit gebräuchliche Kennung für eine öffentlich bekannte Schwachstelle, etwa CVE-2026-12345. Das Programm betreibt die US-Organisation MITRE; Hersteller, Forschende und Behörden beziehen sich mit der Kennung auf dieselbe Schwachstelle. In Resilic trägt jeder Treffer in der Schwachstellenansicht seine CVE-Kennung.

CVSS (Common Vulnerability Scoring System) bewertet die technische Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Der Wert sagt, wie schlimm eine Ausnutzung wäre, nicht, wie wahrscheinlich sie ist. Dafür gibt es EPSS und KEV.

EPSS (Exploit Prediction Scoring System) schätzt die Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen tatsächlich ausgenutzt wird. Das Modell betreibt das FIRST-Konsortium. Resilic zeigt den Wert als Kontext für die Priorisierung; ein Auslöser für die Meldepflicht ist er nicht.

KEV (Known Exploited Vulnerabilities) ist der Katalog der US-Behörde CISA mit Schwachstellen, deren aktive Ausnutzung belegt ist. Ein KEV-Eintrag ist in Resilic das stärkste Signal, weil er genau die Frage beantwortet, die Artikel 14 stellt: Wird diese Schwachstelle aktiv ausgenutzt?

Aktiv ausgenutzte Schwachstelle ist der Begriff aus Artikel 14 Absatz 1 CRA. Eine Schwachstelle in einem Ihrer Produkte, deren Ausnutzung Ihnen bekannt wird, löst die Meldekaskade aus (24 Stunden, 72 Stunden, 14 Tage). Details in der Meldung.

Datenbanken und Quellen

EUVD (European Union Vulnerability Database) ist die europäische Schwachstellendatenbank, die die ENISA nach Artikel 12 CRA betreibt. Sie führt CVE-Einträge mit europäischem Kontext und nimmt die Meldungen aus der Single Reporting Platform auf.

NVD (National Vulnerability Database) ist das US-Pendant des NIST. Sie reichert CVE-Einträge um CVSS-Werte, betroffene Produkte (CPE) und Referenzen an.

ENISA ist die Agentur der Europäischen Union für Cybersicherheit. Sie betreibt die EUVD und die Single Reporting Platform, über die Hersteller ihre Artikel-14-Meldungen einreichen.

CISA ist die US-Behörde für Cybersicherheit und Infrastruktursicherheit. Sie pflegt den KEV-Katalog.

CSAF (Common Security Advisory Framework) ist das maschinenlesbare Format für Sicherheitshinweise von Herstellern, standardisiert von OASIS. Resilic liest die CSAF-Feeds Ihrer Lieferanten und kann Ihre eigenen Hinweise als CSAF veröffentlichen.

Software und Komponenten

SBOM (Software Bill of Materials, Software-Stückliste) listet, welche Softwarekomponenten mit welcher Version in einem Produkt stecken. Der CRA verlangt sie in Anhang I Teil II als Software-Stückliste in einem gängigen, maschinenlesbaren Format. Resilic liest SBOMs in den Formaten CycloneDX und SPDX ein und gleicht die Komponenten mit den Schwachstellendatenbanken ab.

CycloneDX und SPDX sind die beiden verbreiteten SBOM-Formate. CycloneDX stammt von OWASP, SPDX von der Linux Foundation; beide sind als Import in Resilic möglich.

PURL (Package URL) ist eine standardisierte Adresse für ein Softwarepaket, etwa pkg:npm/[email protected]. Sie macht eine Komponente über Hersteller- und Formatgrenzen hinweg eindeutig.

CPE (Common Platform Enumeration) ist die Kennung, mit der die NVD betroffene Produkte, Firmware und Geräte benennt. Resilic nutzt sie, um Scanner-Funde und Komponenten einem Hersteller und einer Version zuzuordnen; siehe Scanner im Feld.

VEX (Vulnerability Exploitability eXchange) ist die Aussage eines Herstellers, ob eine Schwachstelle in einem Produkt tatsächlich ausnutzbar ist. Sie wird oft als Teil eines CSAF-Hinweises verteilt. Resilic liest aus CSAF-Hinweisen die betroffenen Produkte; eine VEX-Aussage Ihres Lieferanten ersetzt Ihre eigene Prüfung nicht.

Regulierung

CRA (Cyber Resilience Act) ist die EU-Verordnung 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Die Meldepflichten aus Artikel 14 gelten seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027. Welche Pflichten das für Maschinenbauer sind, steht im Überblick.

Single Reporting Platform ist die zentrale Meldeplattform der ENISA, über die Hersteller Frühwarnungen, Meldungen und Abschlussberichte nach Artikel 14 einreichen. Resilic bereitet die Meldungen passend vor; eingereicht wird von einem Menschen.