Europäische Schwachstellendatenbank

Die Europäische Schwachstellendatenbank ist ein öffentlich zugängliches Verzeichnis bekannter Schwachstellen in IKT-Produkten und IKT-Diensten. Entwickelt und gepflegt wird sie von der ENISA, der Agentur der Europäischen Union für Cybersicherheit. Ihre Rechtsgrundlage steht nicht im Cyber Resilience Act (CRA), sondern in Artikel 12 Absatz 2 der NIS-2-Richtlinie (Richtlinie (EU) 2022/2555). Betrieben wird sie seit 2025 unter dem englischen Kürzel EUVD; dieses Kürzel steht in keinem der beiden Rechtstexte, es stammt aus der Praxis der ENISA.

Der CRA richtet keine eigene Schwachstellendatenbank ein. Er greift auf die bestehende zurück, und das an zwei entgegengesetzten Enden des Schwachstellenprozesses. Einmal ist sie eine Quelle, aus der Hersteller bei der Prüfung fremder Bestandteile schöpfen können. Einmal ist sie das Ziel, in das behobene Schwachstellen nach ihrer Meldung eingestellt werden.

Was ein Eintrag enthält

Artikel 12 Absatz 2 der NIS-2-Richtlinie legt den Mindestinhalt fest. Jeder Eintrag umfasst drei Angaben:

• Informationen zur Beschreibung der Schwachstelle
• die betroffenen IKT-Produkte oder IKT-Dienste und das Ausmaß der Schwachstelle im Hinblick auf die Umstände, unter denen sie ausgenutzt werden kann
• die Verfügbarkeit entsprechender Patches oder, solange es keine gibt, Orientierungshilfen der zuständigen Behörden oder der CSIRTs zur Minderung der Risiken

Der Zugang zu diesen Informationen steht allen Interessenträgern offen. Das Eintragen dagegen ist freiwillig. Einrichtungen, unabhängig davon, ob sie überhaupt in den Anwendungsbereich der NIS-2-Richtlinie fallen, und deren Anbieter von Netz- und Informationssystemen können öffentlich bekannte Schwachstellen dort offenlegen und registrieren.

Erste Rolle: Nachschlagewerk für die Sorgfaltsprüfung

Artikel 13 Absatz 5 CRA verlangt vom Hersteller die gebotene Sorgfalt, wenn er von Dritten bezogene Bestandteile in sein Produkt integriert. Der Artikeltext selbst nennt keine Datenbank. Erst Erwägungsgrund 34 wird konkret und führt vier Maßnahmen auf, von denen eine oder mehrere in Betracht kommen:

• die Prüfung, ob der Hersteller einer Komponente die Konformität mit der Verordnung nachgewiesen hat, etwa durch die Kontrolle, ob sie bereits die CE-Kennzeichnung trägt
• die Prüfung, ob die Komponente regelmäßig Sicherheitsaktualisierungen erhält, etwa anhand der bisherigen Sicherheitsaktualisierungen
• die Prüfung, ob sie frei von Schwachstellen ist, die in der Europäischen Schwachstellendatenbank oder in anderen öffentlich zugänglichen Schwachstellendatenbanken registriert sind
• zusätzliche Sicherheitsprüfungen

Zwei Einschränkungen sind wichtig. Der CRA schreibt keine bestimmte Datenbank vor, sondern stellt die europäische ausdrücklich neben andere öffentlich zugängliche Quellen. Und der angemessene Umfang der Sorgfaltspflicht bei Komponenten Dritter richtet sich nach Art und Ausmaß des Cybersicherheitsrisikos der jeweiligen Komponente. Ein Abgleich ohne Treffer ist damit ein Baustein unter mehreren, kein Freibrief.

Zweite Rolle: Ablage für gemeldete Schwachstellen

Artikel 17 Absatz 5 CRA beschreibt den umgekehrten Weg. Die ENISA nimmt eine nach Artikel 14 Absatz 1 oder Artikel 15 Absatz 1 gemeldete, öffentlich bekannte Schwachstelle in die Europäische Schwachstellendatenbank auf. Daran hängen zwei Bedingungen, die in der Praxis leicht übersehen werden.

• Es muss eine Sicherheitsaktualisierung oder eine andere Form von Korrektur- oder Risikominderungsmaßnahme verfügbar sein.
• Die Aufnahme erfolgt im Einvernehmen mit dem Hersteller des betroffenen Produkts.

Eine Meldung landet also weder automatisch noch sofort in der Datenbank. Erwägungsgrund 66 nennt den Zweck dieses Wegs. Die Datenbank soll Hersteller dabei unterstützen, bekannte ausnutzbare Schwachstellen in ihren eigenen Produkten zu ermitteln.

Nicht dasselbe wie die Meldeplattform

Die Einheitliche Meldeplattform nach Artikel 16 CRA und die Europäische Schwachstellendatenbank sind zwei getrennte Systeme aus zwei getrennten Rechtsakten. Über die Meldeplattform meldet der Hersteller eine aktiv ausgenutzte Schwachstelle gleichzeitig dem als Koordinator benannten CSIRT und der ENISA. Nach Artikel 16 Absatz 5 müssen die Spezifikationen der Plattform sicherstellen, dass Informationen über eine gemeldete Schwachstelle, für die noch keine Korrektur- oder Risikominderungsmaßnahme verfügbar ist, nur nach strengen Sicherheitsprotokollen und nach dem Grundsatz „Kenntnis nur, wenn nötig“ weitergegeben werden.

Die Datenbank steht am anderen Ende, weil sie öffentlich ist. Erwägungsgrund 73 formuliert die Beziehung zwischen beiden zurückhaltend. Die ENISA soll beim Aufbau der Meldeplattform „mögliche Komplementaritäten“ mit der Datenbank prüfen. Eine technische Verknüpfung schreibt der CRA nicht vor.

Ab wann das greift

Artikel 71 Absatz 2 CRA setzt den allgemeinen Geltungsbeginn auf den 11. Dezember 2027. Vorgezogen sind nur zwei Blöcke: Artikel 14 gilt ab dem 11. September 2026, Kapitel IV (Artikel 35 bis 51) ab dem 11. Juni 2026. Artikel 16 und Artikel 17 gehören nicht dazu, obwohl Artikel 14 die Meldung schon über die nach Artikel 16 eingerichtete Plattform verlangt. Wie diese Lücke praktisch geschlossen wird, ergibt sich aus dem Verordnungstext nicht.

Warum es eine europäische Datenbank gibt

Erwägungsgrund 63 der NIS-2-Richtlinie nennt den Grund. Vergleichbare Register werden von Einrichtungen betrieben und gepflegt, die nicht in der Union niedergelassen sind. Eine von der ENISA gepflegte Datenbank soll für mehr Transparenz über den Veröffentlichungsprozess vor der öffentlichen Offenlegung sorgen und die Resilienz erhöhen, falls ähnliche Dienste gestört werden oder ausfallen.

Doppelarbeit soll dabei vermieden werden. Die ENISA soll deshalb prüfen, ob sie mit vergleichbaren Registern unter der Gerichtsbarkeit von Drittländern strukturiert zusammenarbeiten kann, ausdrücklich auch mit den Betreibern des CVE-Systems.

Was der CRA nicht verlangt

Eine Pflicht, eigene Einträge in der Europäischen Schwachstellendatenbank anzulegen, gibt es nicht. Ihre Veröffentlichungspflicht folgt aus Anhang I Teil II Nummer 4: Sobald eine Sicherheitsaktualisierung bereitgestellt ist, sind Informationen über die beseitigte Schwachstelle zu teilen und zu veröffentlichen, einschließlich einer Beschreibung der Schwachstelle, der Angaben, mit denen Nutzer das betroffene Produkt bestimmen können, der Auswirkungen, des Schweregrads und klarer, zugänglicher Hinweise zur Behebung. In hinreichend begründeten Fällen, in denen der Hersteller die Sicherheitsrisiken der Veröffentlichung für gewichtiger hält als ihren Sicherheitsnutzen, darf er sie aufschieben, bis Nutzer den betreffenden Patch anwenden konnten.

Ein Eintrag, den die ENISA nach Artikel 17 Absatz 5 vornimmt, ersetzt diese eigene Veröffentlichung nicht. Er tritt neben sie.