Thema: vulnerability-management
-
CRA-Schwachstellenprozess eines Herstellers vorbereiten: Meldungseingang, Beweise und Meldefristen
Ein vorgeschlagenes Vorbereitungsverfahren verknüpft den Eingang von Schwachstellenmeldungen und Komponentennachweise mit der Entscheidung über eine CRA-Meldung. Es trennt die bereits 2026 geltende Meldepflicht von den umfassenderen Anforderungen an den Umgang mit Schwachstellen, die ab Dezember 2027 gelten.
-
CRA-Meldungen seit September 2026: Auslöser, Fristen und die Single Reporting Platform
Der CRA verpflichtet Hersteller, aktiv ausgenutzte Produktschwachstellen und schwerwiegende Vorfälle der Produktsicherheit zu melden. Für beide gelten Stufen nach 24 und 72 Stunden; die Fristen für ihre Abschlussberichte beginnen jedoch mit unterschiedlichen Ereignissen.
-
Prüfen, ob ein Sicherheitspatch wirklich eingespielt wurde: installierte Versionen mit Herstellerhinweisen über mehrere Betriebssystemfamilien abgleichen
Ein erfolgreich gemeldeter Update-Job belegt nicht, dass eine bestimmte Schwachstelle behoben ist. Den Nachweis liefert erst der Abgleich der installierten Paket- oder Build-Version mit dem eigenen Advisory des Herstellers (Ubuntu USN, ein Advisory der RHEL-Familie (RHSA unter RHEL) über dnf updateinfo --security, Debian DSA über debsecan, Windows Get-HotFix oder die macOS-Build-Nummer gegen Apples eigene Seite zu Sicherheitsupdates). Ein ausstehender Neustart kann dennoch dazu führen, dass die alte, verwundbare Binärdatei weiterläuft, auch wenn diese Prüfung besteht.
-
Schweizer Meldepflicht für Cyberangriffe und CRA: unterschiedliche Pflichten für Betreiber und Produkthersteller
Die Schweizer Meldepflicht für kritische Infrastrukturen betrifft Cyberangriffe, die bestimmte Kriterien erfüllen und sich gegen erfasste Betreiber richten. Der CRA betrifft Produkthersteller, die den EU-Markt beliefern, einschliesslich Schweizer Hersteller; ähnliche frühe Fristen machen die Empfänger oder Meldeauslöser nicht austauschbar.
-
CRA und Open Source: Mitwirkende, Hersteller und Stewards unterscheiden
Eine Open-Source-Lizenz allein bestimmt die CRA-Pflichten nicht. Die Verordnung unterscheidet zwischen gewerblicher Produktbereitstellung, Beiträgen zu Software ausserhalb der Verantwortung der Mitwirkenden und dauerhafter Unterstützung durch Open-Source-Software-Stewards, deren Pflichten nach Artikel 24 im Dezember 2027 beginnen.
Maschinenlesbar: JSON