Als Koordinator benanntes CSIRT

Das als Koordinator benannte CSIRT ist die nationale Stelle, an die Hersteller ihre Pflichtmeldungen nach dem Cyber Resilience Act (CRA) richten. Geschaffen wird sie durch den CRA nicht. Jeder Mitgliedstaat benennt nach Artikel 12 Absatz 1 der NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) eines seiner Computer Security Incident Response Teams als Koordinator, und der CRA weist genau dieser Stelle zusätzliche Aufgaben zu.

Für Hersteller ist das die zweite Behördenbeziehung neben der Marktüberwachung, und sie beginnt früher. Artikel 14 gilt nach Artikel 71 Absatz 2 ab dem 11. September 2026, die übrigen Pflichten der Hersteller erst ab dem 11. Dezember 2027. Nach Artikel 69 Absatz 3 erfassen die Pflichten aus Artikel 14 außerdem alle Produkte, die in den Anwendungsbereich der Verordnung fallen und vor dem 11. Dezember 2027 in den Verkehr gebracht wurden.

Woher die Rolle stammt

Artikel 12 Absatz 1 der NIS-2-Richtlinie beschreibt das als Koordinator benannte CSIRT als vertrauenswürdigen Vermittler zwischen der Person, die eine Schwachstelle meldet, und dem Hersteller oder Anbieter des betroffenen Produkts. Drei Aufgaben nennt die Richtlinie ausdrücklich:

• betroffene Einrichtungen ermitteln und kontaktieren
• die meldende natürliche oder juristische Person unterstützen
• Zeitpläne für die Offenlegung aushandeln und das Vorgehen bei Schwachstellen koordinieren, die mehrere Einrichtungen betreffen

Meldungen an das CSIRT sind auf Wunsch anonym möglich, und das CSIRT muss die Anonymität wahren. Könnte eine gemeldete Schwachstelle erhebliche Auswirkungen auf Einrichtungen in mehreren Mitgliedstaaten haben, arbeiten die als Koordinatoren benannten CSIRTs im CSIRTs-Netzwerk zusammen. Aus dieser Vermittlerrolle erklärt sich, warum die Koordinierte Offenlegung von Schwachstellen und die Meldewege des CRA an derselben Stelle zusammenlaufen.

Welches CSIRT für Sie zuständig ist

Artikel 14 Absatz 7 lässt bei den Pflichtmeldungen keine Wahl. Zuständig ist das als Koordinator benannte CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat. Als Hauptniederlassung gilt der Ort, an dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden. Lässt sich ein solcher Mitgliedstaat nicht bestimmen, entscheidet die Niederlassung mit der höchsten Beschäftigtenzahl in der Union.

Die Zuordnung folgt damit der Organisation der Produktentwicklung, nicht dem Sitz der Konzernmutter und nicht dem Absatzmarkt. Wer Produktsicherheit an einem anderen Ort verantwortet als das Rechtsgeschäft, sollte die Frage vorab klären. In einer laufenden 24-Stunden-Frist ist sie zu spät gestellt.

Was mit einer Meldung geschieht

Eine Aktiv ausgenutzte Schwachstelle und ein schwerwiegender Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit gehen gleichzeitig an das zuständige CSIRT und an die ENISA. Der Weg dorthin ist die Einheitliche Meldeplattform: Der Hersteller übermittelt einmal über den Endpunkt für die elektronische Meldung seines CSIRT, die Verteilung übernimmt die Plattform.

Das CSIRT, bei dem die Meldung zuerst eingeht, leitet sie nach Artikel 16 Absatz 2 unverzüglich an die CSIRTs der Mitgliedstaaten weiter, in deren Hoheitsgebiet das Produkt nach Angaben des Herstellers bereitgestellt wurde. Unter außergewöhnlichen Umständen kann es die Weiterleitung aus berechtigten Gründen der Cybersicherheit aufschieben, aber nur so lange wie unbedingt erforderlich. Es muss die ENISA dann unverzüglich unterrichten, die Zurückhaltung begründen und angeben, wann es die Meldung verbreiten wird. Ist eine aktiv ausgenutzte Schwachstelle dem CSIRT im Rahmen eines Verfahrens der koordinierten Offenlegung bekannt geworden, erlaubt Artikel 16 Absatz 6 das Aufschieben ebenfalls aus berechtigten Gründen der Cybersicherheit, nicht länger als unbedingt erforderlich und bis die beteiligten Parteien der Offenlegung zugestimmt haben.

Nach Artikel 16 Absatz 3 stellen die CSIRTs den Marktüberwachungsbehörden ihres Mitgliedstaats die gemeldeten Informationen zur Verfügung, die diese für ihre Aufgaben nach dem CRA benötigen.

Was das CSIRT vom Hersteller verlangen kann

Drei Befugnisse werden bei der Vorbereitung leicht übersehen:

• Zwischenbericht. Das CSIRT, das die Meldung ursprünglich erhält, kann nach Artikel 14 Absatz 6 einen Zwischenbericht über den Stand der Dinge anfordern, zusätzlich zu Frühwarnung, Meldung und Abschlussbericht.
• Unterrichtung der Nutzer. Versäumt es der Hersteller, seine Nutzer rechtzeitig zu informieren, können die unterrichteten CSIRTs diese Information nach Artikel 14 Absatz 8 selbst übernehmen, soweit sie das für verhältnismäßig und erforderlich halten.
• Information der Öffentlichkeit. Ist eine Sensibilisierung der Öffentlichkeit nötig, um einen schwerwiegenden Sicherheitsvorfall zu verhindern oder zu bewältigen, oder liegt die Offenlegung des Sicherheitsvorfalls sonst im öffentlichen Interesse, kann das CSIRT nach Artikel 17 Absatz 2 nach Konsultation des Herstellers selbst informieren oder den Hersteller dazu auffordern. Für Schwachstellen gilt diese Befugnis nicht.

Die Konsultation des Herstellers ist vorgeschrieben. Ein Vetorecht ist sie nicht.

Was das CSIRT für Hersteller tut

Die Stelle ist nicht nur Empfängerin. Nach Artikel 17 Absatz 6 bieten die als Koordinatoren benannten CSIRTs Helpdesk-Unterstützung zu den Meldepflichten aus Artikel 14 an, ausdrücklich auch für Kleinstunternehmen sowie kleine und mittlere Unternehmen. Meldet jemand anderes als der Hersteller eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall, unterrichtet das CSIRT nach Artikel 15 Absatz 4 unverzüglich den Hersteller.

Über Artikel 15 steht zusätzlich der freiwillige Weg offen: für jede Schwachstelle, für Cyberbedrohungen, die das Risikoprofil eines Produkts beeinflussen könnten, für jeden Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit und für Beinahe-Vorfälle, die zu einem solchen Sicherheitsvorfall hätten führen können. CSIRT und ENISA sichern dabei Vertraulichkeit und angemessenen Schutz der übermittelten Informationen zu, und eine freiwillige Meldung darf keine zusätzlichen Pflichten auslösen. Verpflichtende Meldungen darf das CSIRT allerdings vorrangig bearbeiten.

Abgrenzung zur Marktüberwachung

Das als Koordinator benannte CSIRT ist keine Durchsetzungsbehörde. Es ordnet keinen Rückruf an und entscheidet nicht über die Konformität eines Produkts. Diese Befugnisse liegen bei der Marktüberwachungsbehörde. Über Sanktionen entscheiden nach Artikel 64 Absatz 1 die Mitgliedstaaten, die dafür die Vorschriften erlassen.

Voneinander getrennt sind die beiden Stränge deshalb nicht. Artikel 52 Absatz 4 verpflichtet die Marktüberwachungsbehörden, bei der Aufsicht über die Meldepflichten aus Artikel 14 regelmäßig mit den CSIRTs und der ENISA zusammenzuarbeiten und Informationen auszutauschen. Wer meldet, sollte also damit rechnen, dass derselbe Sachverhalt auch die Marktüberwachung erreicht.