Glossar

Aktiv ausgenutzte Schwachstellelöst die 24 Stunden ausArt. 3 Nr. 42 CRA

Eine Schwachstelle, zu der verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat. Nur diese Stufe ist meldepflichtig, nicht die blosse Existenz einer Lücke.

Betroffenheitwelche Ihrer Maschinen wirklichArt. 14(2)(a) CRA

Die Antwort auf die Frage, welche der ausgelieferten Maschinen eine gemeldete Schwachstelle tatsächlich trifft. Nicht die Baureihe, sondern die einzelne Seriennummer, weil auf zwei Maschinen derselben Baureihe verschiedene Softwarestände laufen können. Die Frühwarnung nach Artikel 14(2)(a) verlangt die Mitgliedstaaten, in denen das betroffene Produkt bereitgestellt wurde; beides kommt aus derselben Auswertung.

BevollmächtigterAnker in der UnionArt. 14(7) CRA

Eine in der Union niedergelassene Person, die vom Hersteller schriftlich beauftragt ist, bestimmte Pflichten wahrzunehmen. Für Hersteller aus Drittstaaten bestimmt er mit, welches CSIRT zuständig ist.

CISAUS-Behörde hinter dem KEV-Katalog

Die Cybersecurity and Infrastructure Security Agency der Vereinigten Staaten. Sie führt den Katalog der nachweislich ausgenutzten Schwachstellen (KEV) und ist damit für die Meldepflicht nach Artikel 14 eine der wenigen belastbaren Quellen dafür, dass eine Lücke wirklich ausgenutzt wird.

CPEKennung der Behörden

Common Platform Enumeration. Eine standardisierte Kennung für Produkte und Versionen, wie sie Behörden und Schwachstellendatenbanken verwenden. Form: cpe:2.3:a:hersteller:produkt:version:…

CSAFmaschinenlesbarer Sicherheitshinweis

Common Security Advisory Framework, ein OASIS-Standard. Format, in dem Sicherheitshinweise maschinenlesbar veröffentlicht werden, damit Betreiber sie nicht aus zwölf verschiedenen PDF zusammensuchen müssen.

CSIRTEmpfänger der MeldungArt. 14(1) CRA

Computer Security Incident Response Team. Die zuständige Stelle eines Mitgliedstaats, an die zusammen mit der ENISA gemeldet wird.

CVEdie Nummer einer Schwachstelle

Common Vulnerabilities and Exposures. Die weltweit eindeutige Nummer einer veröffentlichten Schwachstelle, etwa CVE-2026-7788. Sie ist der Bezugspunkt, über den Zulieferer, Datenbanken und Behörden von derselben Lücke sprechen. Das Meldeformular der ENISA fragt danach.

CVSSwie schwer die Lücke wiegt

Common Vulnerability Scoring System. Eine Kennzahl von 0 bis 10 dafür, welchen Schaden eine Schwachstelle anrichtet, WENN sie ausgenutzt wird. Sie sagt nichts darüber, ob das geschieht; dafür steht EPSS. Eine hohe CVSS mit niedriger EPSS ist selten so dringend, wie sie aussieht.

ENISAAgentur der Union

Agentur der Europäischen Union für Cybersicherheit. Betreibt die Single Reporting Platform und erhält jede Meldung parallel zum CSIRT.

EPSSwie wahrscheinlich die Ausnutzung

Exploit Prediction Scoring System. Die geschätzte Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen tatsächlich ausgenutzt wird. Zusammen mit CVSS ergibt sie die Reihenfolge, in der man Lücken abarbeitet.

EUVDdie europäische Schwachstellendatenbank

Die von der ENISA betriebene Datenbank für Schwachstellen. Sie führt dieselbe Lücke unter einer eigenen Kennung neben der CVE-Nummer. Das Meldeformular der ENISA fragt nach dieser Kennung, weshalb sie an einem Fund mitgeführt wird.

Frühwarnung24 StundenArt. 14(2)(a) CRA

Die erste Stufe der Meldung, unverzüglich und spätestens 24 Stunden nach Kenntniserlangung. Sie verlangt wenig, aber unter anderem die Mitgliedstaaten, in denen das betroffene Produkt bereitgestellt wurde.

KenntniserlangungAnker aller Fristen

Der Zeitpunkt, zu dem der Hersteller Kenntnis erlangt. Die Uhr läuft ab diesem Moment, nicht ab dem Zeitpunkt, an dem jemand mit der Bearbeitung beginnt. Eine Mail vom Freitagabend, gelesen am Montag, hat von 24 Stunden schon über 60 verbraucht.

KEVKatalog der ausgenutzten LückenArt. 3 Nr. 42 CRA

Known Exploited Vulnerabilities. Der von der CISA geführte Katalog jener Schwachstellen, für die Nachweise einer tatsächlichen Ausnutzung vorliegen. Für die Meldepflicht ist er deshalb wichtiger als jede Schweregradzahl: Erst die nachgewiesene Ausnutzung löst die 24 Stunden aus.

Konformitätsbewertungdas Verfahren vor dem CE-ZeichenArt. 32 CRA

Das Verfahren, mit dem ein Hersteller nachweist, dass sein Produkt die Anforderungen erfüllt. Bei Standardprodukten führt er es selbst durch (Modul A), ab Anhang III Klasse II ist eine notifizierte Stelle zu beteiligen. Konform ist ein Produkt erst danach, nicht vorher.

Modul ABewertung in eigener VerantwortungAnhang VIII CRA

Die interne Fertigungskontrolle: Der Hersteller bewertet die Konformität selbst, ohne Beteiligung einer Prüfstelle. Für die meisten vernetzten Maschinen ist das der Regelfall. Er entbindet nicht von der technischen Dokumentation, er verlagert nur die Prüfung ins eigene Haus.

NVDdie grosse Schwachstellendatenbank

National Vulnerability Database, geführt vom US-Normeninstitut NIST. Sie sammelt veröffentlichte Schwachstellen mit Kennung, Schweregrad und betroffenen Versionsbereichen. Sie ist die Quelle, gegen die eine Stückliste sinnvoll abgeglichen werden kann.

purlKennung der Werkzeuge

Package URL. Kennung für Softwarepakete, wie sie Entwicklungswerkzeuge und Stücklisten verwenden. Form: pkg:typ/hersteller/name@version

SBOMStückliste der Software

Software Bill of Materials. Verzeichnis der in einem Produkt enthaltenen Softwarebestandteile, üblich in den Formaten CycloneDX und SPDX. Sie sagt, was drin ist, aber nicht, welche ausgelieferte Maschine welche Fassung trägt.

Single Reporting Platformder Meldeweg

Die zentrale, angemeldete Plattform der ENISA, über die gemeldet wird. Sie hat keine Schnittstelle für Fremdsysteme: Absenden bleibt ein Mensch mit EU-Login.

Unterstützungszeitraummindestens fünf JahreArt. 13(8) CRA

Der Zeitraum, in dem Schwachstellen wirksam zu behandeln sind. Er läuft ab dem Inverkehrbringen der einzelnen Maschine und richtet sich nach der erwarteten Nutzungsdauer, wenn diese länger ist.

VEXdie Aussage "nicht betroffen"

Vulnerability Exploitability eXchange, ein Profil innerhalb von CSAF. Damit lässt sich maschinenlesbar erklären: Das Produkt enthält die betroffene Komponente, ist aber nicht betroffen, weil die verbaute Fassung ausserhalb des gemeldeten Bereichs liegt.

Wesentliche Änderungweckt BestandsprodukteArt. 69(2) CRA

Eine Änderung nach dem Inverkehrbringen, die sich auf die Erfüllung der wesentlichen Anforderungen auswirkt oder den Verwendungszweck ändert. Bei Bestandsprodukten löst sie die Produktanforderungen aus, die sonst nicht gelten.

Zu den Fachbeiträgen · Pflichten und Fristen