### Meldung von nicht gepatchten, aktiv ausgenutzten Sicherheitslücken

Nicht gepatchte, aktiv ausgenutzte Sicherheitslücke

Eine Sicherheitslücke im Sinne von Artikel 6 Nummer 15 der Richtlinie RICHTLINIE (EU) 2022/2555 DES EUROPÄISCHEN PARLAMENTS UND DES RATES ist eine Sicherheitslücke, die noch nicht öffentlich bekannt gegeben und behoben wurde und für die es zuverlässige Hinweise darauf gibt, dass ein Akteur ohne Genehmigung des Systembesitzers bösartigen Code auf einem System ausgeführt hat.

Nicht gepatchte, aktiv ausgenutzte Sicherheitslücken müssen dem CSIRT gemeldet werden, das Unterstützung leistet. Gemäß NCCS Artikel 38 Absatz 4 kann der CSIRT, wenn Organisationen mit kritischer und erheblicher Auswirkung relevante Informationen über nicht behobene Sicherheitslücken, die aktiv ausgenutzt wurden, an den CSIRT melden, diese Informationen an die zuständige Behörde weiterleiten. Angesichts der Sensibilität der gemeldeten Informationen kann der CSIRT die Übermittlung der Informationen aus legitimen Gründen der Cybersicherheit zurückhalten oder verzögern. Nicht gepatchte, aktiv ausgenutzte Sicherheitslücken sollten an die CSIRT gemeldet werden, die Unterstützung leisten wird.

Wenn eine ungepatchte, aktiv ausgenutzte Sicherheitslücke gemäß NCCS Artikel 37 Absatz 2 gemeldet wird, dann:

(a) es unverzüglich über einen geeigneten sicheren Informationsaustauschkanal an ENISA weiterleiten, sofern in anderen Rechtsvorschriften der Union nichts anderes bestimmt ist;

(b) die betroffene Organisation wird dabei unterstützt, vom Hersteller oder Anbieter ein wirksames, koordiniertes und zügiges Management der ungepatchten, aktiv ausgenutzten Sicherheitslücke oder wirksame und effiziente Abhilfemaßnahmen zu erhalten;

(c) die verfügbaren Informationen an den Anbieter weitergeben und den Hersteller oder Anbieter, soweit möglich, auffordern, eine Liste der CSIRTs in den Mitgliedstaaten zu erstellen, die von der nicht gepatchten, aktiv ausgenutzten Sicherheitslücke betroffen sind und die informiert werden müssen;

(d) die verfügbaren Informationen mit den unter dem vorherigen Punkt genannten CSIRTs (Computer Security Incident Response Teams) auf der Grundlage des Need-to-know-Prinzips teilen;

(e) sofern vorhanden, Strategien und Maßnahmen zur Minderung der gemeldeten, nicht gepatchten und aktiv ausgenutzten Sicherheitslücke angeben.

Wenn die zuständige Behörde gemäß NCCS Artikel 37 Absatz 3 von einer ungepachten, aktiv ausgenutzten Sicherheitslücke Kenntnis erlangt, dann:

(a) die vorhandenen Strategien und Maßnahmen zur Minderung der gemeldeten, nicht gepatchten und aktiv ausgenutzten Sicherheitslücke in Abstimmung mit den CSIRTs in seinem Mitgliedstaat teilen;

(b) soll die Informationen mit einem CSIRT in dem Mitgliedstaat, in dem die nicht gepatchte, aktiv ausgenutzte Sicherheitslücke gemeldet wurde, teilen.

Nicht gepatchte, aktiv ausgenutzte Sicherheitslücken müssen dem CSIRT gemeldet werden, das Unterstützung bietet.