Von den acht Anforderungen an die Schwachstellenbehandlung in Anhang I Teil II des Cyber Resilience Act, Verordnung (EU) 2024/2847, ist die Richtlinie zur koordinierten Offenlegung von Schwachstellen diejenige, die die meisten kleinen Hersteller nie geschrieben haben und an einem Nachmittag schreiben können. Sie ist auch die, nach der ein Forscher, ein Kunde und eine Marktüberwachungsbehörde alle namentlich suchen werden. Drei Vorschriften definieren sie.

Vorschrift eins: die Richtlinie selbst, Anhang I Teil II Nummer 5

Hersteller müssen „eine Richtlinie zur koordinierten Offenlegung von Schwachstellen einführen und durchsetzen“. Zwei Verben. Einführen: Eine schriftliche Richtlinie existiert und ist dort veröffentlicht, wo ein Meldender sie finden kann. Durchsetzen: Die Organisation befolgt sie, und das heißt, sie benennt, wer Meldungen entgegennimmt, was dann geschieht und in welcher Zeit.

Nummer 5 schreibt den Inhalt nicht vor. Nummer 6 daneben leistet einen Teil der Arbeit: Hersteller müssen „Maßnahmen ergreifen, um den Austausch von Informationen über potenzielle Schwachstellen in ihrem Produkt mit digitalen Elementen sowie in darin enthaltenen Komponenten Dritter zu erleichtern, einschließlich der Bereitstellung einer Kontaktadresse für die Meldung der im Produkt entdeckten Schwachstellen“. Und Nummer 4 legt fest, was geschieht, sobald eine Behebung existiert: Behobene Schwachstellen werden öffentlich offengelegt, mit Beschreibung, betroffenen Produkten, Auswirkungen, Schweregrad und Abhilfe für Nutzer, es sei denn, die Veröffentlichung würde mehr schaden als nützen; dann darf die Offenlegung verzögert werden, bis Nutzer aktualisieren konnten.

Vorschrift zwei: die zentrale Kontaktstelle, Artikel 13 Absatz 17

Artikel 13 Absatz 17 verlangt von Herstellern, eine zentrale Kontaktstelle zu benennen, „damit Nutzer direkt und schnell mit ihnen kommunizieren können, auch um die Meldung von Schwachstellen zu erleichtern“. Die Kontaktstelle muss „für die Nutzer leicht erkennbar“ sein, in die Nutzerinformationen nach Anhang II aufgenommen werden, und sie „ermöglicht es den Nutzern, das von ihnen bevorzugte Kommunikationsmittel zu wählen, und beschränkt diese Mittel nicht auf automatisierte Werkzeuge“.

Der letzte Halbsatz schließt eine Kontaktstelle aus, die nur ein Webformular oder nur ein Bot ist. Eine Sicherheits-E-Mail-Adresse, neben dem Formular oder der Bug-Bounty-Plattform, die Sie außerdem nutzen, erfüllt ihn. Ein PGP-Schlüssel oder ein anderer Weg, Details vertraulich zu senden, wird vom Text nicht verlangt, aber ein Meldender erwartet ihn.

Vorschrift drei: wo sie veröffentlicht und abgelegt wird

Anhang II Nummer 2: Die Nutzerinformationen des Produkts müssen „die zentrale Kontaktstelle, bei der Informationen über Schwachstellen des Produkts mit digitalen Elementen gemeldet und entgegengenommen werden können und bei der die Richtlinie des Herstellers zur koordinierten Offenlegung von Schwachstellen zu finden ist“, enthalten. Die Richtlinie hat also einen öffentlichen Ort, und die Nutzerinformationen verweisen darauf.

Anhang VII Nummer 2 Buchstabe b: Die technische Dokumentation enthält „die Richtlinie zur koordinierten Offenlegung von Schwachstellen, den Nachweis der Bereitstellung einer Kontaktadresse für die Meldung der Schwachstellen“. Die Richtlinie ist ein gelenktes Dokument mit Version und Datum, nicht nur eine Webseite.

Dieselbe Richtlinie ist auch das, was Artikel 24 von Verwaltern quelloffener Software verlangt, in Form einer dokumentierten Cybersicherheitsrichtlinie, die Schwachstellenbehandlung und freiwillige Meldung fördert.

Was eine einseitige Richtlinie sagen muss

  1. Geltungsbereich. Welche Produkte und Versionen die Richtlinie erfasst und der Unterstützungszeitraum, in dem auf Meldungen reagiert wird.
  2. Wie gemeldet wird. Die zentrale Kontaktstelle: mindestens eine E-Mail-Adresse, dazu ein Formular oder eine Plattform; wie Details vertraulich gesendet werden; was anzugeben ist (Produkt, Version, Schritte zur Reproduktion, Auswirkung).
  3. Was der Meldende erwarten kann. Eine Bestätigung binnen einer genannten Frist; eine Bewertung und eine erste Antwort binnen einer genannten Frist; Aktualisierungen, während die Schwachstelle behandelt wird. Wählen Sie Fristen, die Sie halten; ein Versprechen von 48 Stunden, das Sie nicht einhalten, ist schlechter als fünf Arbeitstage, die Sie einhalten.
  4. Wie Sie sie behandeln. Triage, Schweregrad, Behebung „unverzüglich“ (Nummer 2), ein Sicherheitsupdate getrennt von Funktionsupdates, wo machbar, und die Offenlegung nach Nummer 4, sobald das Update verfügbar ist. Wo der Meldende zugleich die Quelle einer aktiv ausgenutzten Schwachstelle ist, laufen die Uhren des Artikels 14 parallel, und die Richtlinie sollte das sagen.
  5. Offenlegung und Nennung. Wann und wie Sie behobene Schwachstellen veröffentlichen, ob Sie Meldende nennen und der Grund für eine verzögerte Veröffentlichung (Nummer 4: wo das Sicherheitsrisiko der Veröffentlichung den Nutzen überwiegt, bis Nutzer aktualisieren können).
  6. Safe Harbour. Eine Erklärung, dass Forschung in gutem Glauben innerhalb der Bedingungen der Richtlinie nicht Gegenstand rechtlicher Schritte Ihrerseits sein wird. Das verlangt die Verordnung nicht, und es ist das, was Forscher dazu bringt, an Sie zu melden statt über Sie.
  7. Verantwortliche Person und Version. Wer die Richtlinie verantwortet, Version und Datum, und wo die aktuelle Fassung veröffentlicht ist.

Was sie nicht versprechen darf

Keine Prämie, es sei denn, Sie haben ein Programm. Keine Behebung bis zu einem Datum, das Sie nicht kontrollieren. Keine Vertraulichkeit, die Sie nicht halten können, da Artikel 14 die Benachrichtigung des CSIRT und der Nutzer verlangen kann. Und keine Behauptung, das Produkt habe keine Schwachstellen: Teil I Nummer 2 Buchstabe a betrifft bekannte ausnutzbare Schwachstellen bei Bereitstellung, und der ganze Sinn einer Offenlegungsrichtlinie ist, dass neue gefunden werden.

Veröffentlichen Sie sie unter einer stabilen URL, tragen Sie diese URL in die Nutzerinformationen ein, legen Sie die datierte Fassung bei der technischen Dokumentation ab und nennen Sie die Kontaktadresse an denselben drei Stellen. Das sind drei Vorschriften, erfüllt mit einer Seite.

Quellen

  • Verordnung (EU) 2024/2847, Anhang I Teil II Nummern 2, 4, 5 und 6; Artikel 13 Absatz 17 (zitiert); Anhang II Nummer 2 (zitiert); Anhang VII Nummer 2 Buchstabe b (zitiert); Artikel 24 für Verwalter; Artikel 14 für die Meldefristen. Gelesen im Amtsblatt-Text auf EUR-Lex am 11. September 2026.

Das ist keine Rechtsberatung. Die drei Vorschriften sind kurz genug, um sie in die Präambel der Richtlinie selbst einzufügen, und dort wird ein sorgfältiger Leser nach ihnen suchen.