Betrieb, Updates und Meldeprozess

Das Schwachstellenmanagement nach CRA umfasst drei Kernpflichten: erstens die aktive Beobachtung des Produkts auf bekannte und neu entdeckte Schwachstellen über die gesamte Lebensdauer; zweitens die zeitnahe Bereitstellung von Sicherheitsupdates — kostenlos und ohne erzwungene Funktions-Upgrades; drittens den Betrieb oder die Teilnahme an einem Prozess zur koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD). Letzteres schließt die Einrichtung öffentlicher Kontaktmöglichkeiten für Sicherheitsforscher ein.

Die Meldepflichten des CRA sind besonders konkret: Aktiv ausgenutzte Schwachstellen müssen innerhalb von 24 Stunden an die ENISA und die zuständige nationale Behörde gemeldet werden. Sicherheitsvorfälle mit erheblichem Auswirkungspotenzial unterliegen einer Frist von 72 Stunden für eine erste Meldung. Der Aufbau eines internen PSIRT (Product Security Incident Response Team) oder die Einbindung eines externen PSIRT-Dienstleisters ist für die meisten Hersteller die praktikabelste Umsetzung dieser Anforderungen.

Phase 8 verankert diese Prozesse dauerhaft in der Organisation: klare Eskalationspfade, definierte SLAs für Update-Bereitstellung, regelmäßige Überprüfung der SBOM auf neue CVEs und ein dokumentiertes Verfahren für den Fall, dass ein Produkt das Ende seiner Unterstützungsphase erreicht. Damit schließt sich der CRA-Konformitätskreis — nicht als einmaliges Projekt, sondern als kontinuierliche unternehmerische Verantwortung.