Seminar Cyber Resilience Act – Incident Reporting und Single Reporting Platform

Ab dem 11. September 2026 greifen die CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Die Zeitfenster beginnen mit der Kenntnis des Herstellers. Damit reichen technische Erkennung und ein Ticketsystem allein nicht aus: Triage, Zuständigkeit, Entscheidungsbefugnis, Datenqualität und Vertretung müssen vor dem Ereignis funktionieren.

Das Seminar konzentriert sich auf den inzwischen dokumentierten operativen Ablauf der Single Reporting Platform. Ein realistisches Szenario wird von der Kenntniserlangung über technische Bewertung und Auswahl des koordinierenden CSIRT bis zu Frühwarnung, 72-Stunden-Meldung, Kundenkommunikation und Abschlussbericht bearbeitet. Die Meldepflicht wird auch für bereits vor der vollständigen Anwendbarkeit bereitgestellte Produkte berücksichtigt.

Seminarziel

Ziel ist ein belastbarer, rund um die Uhr handlungsfähiger Prozess, der meldepflichtige Ereignisse rechtzeitig erkennt, eskaliert und mit konsistenten Informationen über die Single Reporting Platform meldet.

Lernziele

• Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle von anderen Findings abgrenzen
• Beginn und Verlauf der Meldefristen in der internen Prozesssteuerung berücksichtigen
• Frühwarnung innerhalb von 24 Stunden und vollständige Meldung innerhalb von 72 Stunden vorbereiten
• Abschlussbericht für Schwachstellen spätestens 14 Tage nach verfügbarer Korrektur und für schwere Vorfälle innerhalb eines Monats nach der 72-Stunden-Meldung vorbereiten
• PSIRT, SOC, Produktteam, Management und Kommunikationsfunktion in einer Eskalationsmatrix verbinden
• Vertraulichkeit, Beweissicherung und konsistente Parallelkommunikation sicherstellen

Inhalte

Meldekriterien und Triage

• Trigger, Kenntniserlangung, technische Verifikation und Entscheidungspunkte
• Exploit-Indikatoren, Auswirkungen, betroffene Versionen und Produktverfügbarkeit
• Abgrenzung zu freiwilligen Meldungen, normalen Schwachstellenmeldungen und internen Incidents
• Umgang mit unvollständigen Informationen und nachträglichen Aktualisierungen

Meldeprozess und Plattform

• EU-Login, Hersteller- beziehungsweise Steward-Vertretung, Validierung, Stellvertretung und Zugriffsschutz
• Pflicht-, bedingte und optionale Datenfelder für Frühwarnung, 72-Stunden-Meldung und Abschlussbericht
• Bestimmung des koordinierenden CSIRT anhand der maßgeblichen Niederlassung und interne Qualitätssicherung
• Statusführung, Fristenüberwachung und Nachweis der Prozessschritte

Kommunikation und Betriebsfähigkeit

• Abstimmung von Behördenmeldung, Kundeninformation, Advisory und Patch-Veröffentlichung
• 24/7-Erreichbarkeit, Rufbereitschaft, Stellvertretung und Management-Eskalation
• Schnittstellen zu CVD, CVE, SOC, Krisenmanagement und Datenschutzprozessen
• Post-Incident Review und Verbesserung des Meldeprozesses

Praktische Übungen

• Tabletop-Simulation einer aktiv ausgenutzten Produktschwachstelle
• Entscheidungsbaum und 24-/72-Stunden-Checklisten anwenden
• Frühwarnung, 72-Stunden-Meldung und fristgerechten Abschlussbericht als konsistentes Meldedossier entwerfen
• RACI, Eskalationskontakte und Übergaben für einen 24/7-Prozess prüfen

Zielgruppe

Das Seminar ist für operative und steuernde Rollen vorgesehen, die bei Produktschwachstellen oder Sicherheitsvorfällen innerhalb kurzer Fristen gemeinsam entscheiden und melden müssen.