Svenska Dokumentmallar
CRA PSIRT – Meldestelle für Schwachstellen, 24/72h-Meldung und Beweismittelkette | Word/PDF/Excel
CRA PSIRT – Meldestelle für Schwachstellen, 24/72h-Meldung und Beweismittelkette | Word/PDF/Excel
- Dateiformat
- DOCX, PDF, XLSX
- Dokumentensprache
- Fünf schwedische Arbeitsdokumente schwedischer Benutzerleitfaden und separater English User Guide; Excel auf Schwedisch.
- Anzahl der Dateien
- 7
Digitaler Download. Es wird kein physisches Produkt versendet.
Verfügbarkeit für Abholungen konnte nicht geladen werden
Über die Dokumentvorlage
Entgegennehmen, bewerten und dokumentieren Sie eine konkrete Sicherheitslücke oder einen Vorfall in einem digitalen Produkt – vom ersten Bericht bis zur tatsächlichen CRA-Meldung und Kundeninformation. Dieses Spezialpaket für Hersteller von Produkten mit digitalen Elementen konzentriert sich auf Artikel 14 der CRA und die Single Reporting Platform (SRP) der ENISA. Es ersetzt keine umfassende CRA-Risikobewertung, SBOM oder tatsächliche Meldung an die Behörden.
Kurzinfos: 5 schwedische Arbeitsdokumente, 1 schwedischer Benutzerleitfaden und 1 englischer Benutzerleitfaden, alle in bearbeitbarem Word-Format (DOCX) und als durchsuchbare, druckbare PDF-Dateien (keine interaktiven Formulare), sowie 1 schwedische Excel-Arbeitsmappe mit 9 Reitern. Insgesamt 15 Kundendateien: sieben eigenständige Dokumente in zwei Formaten plus eine XLSX. Digitale ZIP-Lieferung bei zukünftiger Aktivierung.
Inhalt des Pakets
Fünf eigenständige operative Word-Dokumente, ein schwedischer und ein englischer Leitfaden, sieben entsprechende durchsuchbare PDF-Kopien sowie eine Excel-Arbeitsmappe. Insgesamt 7 Dokumententypen und 15 Dateien. Die Arbeitsdokumente und Excel sind auf Schwedisch; nur der englische Leitfaden ist auf Englisch.
Inhalt der Dateien
PSIRT-Verantwortung und Berechtigung, Aufnahme von Schwachstellen, Beweise und Quellenkontrolle, zwei verschiedene Meldeparameter, Zeitpunkt der Kenntnisnahme, Meldegrundlage und tatsächliche SRP-ID/Quittungen, Sicherheitsupdates, Kundenmitteilungen und Nachkontrollen. Excel bietet eine nachverfolgbare administrative Übersicht – keine automatische Meldung an die Behörden.
Wer sollte die Vorlage wählen – und wann?
Für Produktentwickler und Hersteller, die Software, vernetzte Geräte oder andere Produkte mit digitalen Elementen auf dem EU-Markt verkaufen und mit einem Hinweis auf eine aktive Ausnutzung oder einen schwerwiegenden Sicherheitsvorfall umgehen müssen. Zwei Fallgruppen: Ein Melder übermittelt Belege für Angriffe auf eine bestimmte Firmware-Version; oder ein Hersteller erfährt von einem Vorfall, der die Sicherheit des Produkts schwerwiegend beeinträchtigt. Wenn Sie ein gewöhnlicher Händler sind, IT-Betriebsdienstleister oder ausschließlich interne IT-Vorfälle bearbeiten, sind möglicherweise andere Dokumente und andere Regeln angemessen. Die rechtliche Herstellerrolle und die Anwendung der CRA müssen zunächst geprüft werden.
Datei für Datei
| Dokument | Praktischer Zweck | Sprache | Format |
|---|---|---|---|
| 1. PSIRT – Verantwortung und Bereitschaft | Rollen, berechtigter Vertreter, CSIRT, Eskalation und Notfallverfahren. | Schwedisch | DOCX + durchsuchbare PDF |
| 2. Aufnahme eines Schwachstellenberichts | Sichere Aufnahme, Zuordnung zu Produkt/Version, Quellen- und Beweiskontrolle. | Schwedisch | DOCX + durchsuchbare PDF |
| 3. CRA-Meldepflichtbewertung | Separate Bewertung einer aktiv ausgenutzten Schwachstelle bzw. eines schwerwiegenden Vorfalls. | Schwedisch | DOCX + durchsuchbare PDF |
| 4. Grundlage für die SRP-Meldung | Grundlage für 24h-, 72h-, AEV-/SI-Abschlussbericht sowie tatsächliche SRP-Quittung. | Schwedisch | DOCX + durchsuchbare PDF |
| 5. Koordinierte Korrektur und Kundeninformation | Patch- und Maßnahmenhistorie, Lieferantenkoordination und Kundenbrief. | Schwedisch | DOCX + durchsuchbare PDF |
| 6. Schwedischer Benutzerleitfaden | Fertigstellung, Datumslogik, Abgrenzungen, sichere Handhabung und Quellen. | Schwedisch | DOCX + durchsuchbare PDF |
| 7. English User Guide | Englische Anweisungen für die schwedischen Vorlagen; nicht übersetzte Rechtsformulare. | Englisch | DOCX + durchsuchbare PDF |
| 8. CRA PSIRT/SRP-Register | 9 Reiter: Übersicht, Produkte, Aufnahme, Triage, SRP-Meldung, Maßnahmen, Kommunikation, Beweise und Quellen. | Schwedisch | XLSX |
Das Excel-Tool in der Praxis
Die Arbeitsmappe enthält filterbare Einträge, Statusfelder, ID-Verknüpfungen und eine formelbasierte Übersicht. Bei tatsächlichem Eintrag des UTC-Zeitwerts, zu dem der Hersteller von einem meldepflichtigen Ereignis Kenntnis erlangte, zeigt sie die indikativen 24h- und 72h-Zeitpunkte an. Diese sind äußerste technische Kontrollwerte, keine Berechtigung zum Warten: Melden Sie ohne unnötige Verzögerung. Das Datum des Abschlussberichts wird manuell angegeben, da der Auslöser unterschiedlich ist: wenn eine Maßnahme verfügbar ist (AEV) bzw. wenn die 72h-Meldung tatsächlich eingereicht wurde (SI). Das Register unterscheidet zwischen Entwurf, Bewertung, gesendeter Meldung und tatsächlicher Quittung.
Schrittweise Arbeitsweise
- Identifizieren Sie den rechtlichen Hersteller, das Produkt, die Version und die berechtigte PSIRT-/SRP-Rolle.
- Erfassen Sie Quellen und Beweise, ohne Geheimnisse oder Exploit-Code in unsichere Bürodateien zu legen.
- Bewerten Sie AEV und SI separat anhand von CRA Artikel 14 und dokumentieren Sie den Zeitpunkt der Kenntnisnahme.
- Bei Meldepflicht: Bereiten Sie die Grundlage vor und melden Sie ohne unnötige Verzögerung über die offizielle SRP der ENISA.
- Speichern Sie die tatsächlichen Einreichungs-IDs und Zeitstempel für 24h, 72h und den anwendbaren Abschlussbericht.
- Dokumentieren Sie die Korrekturmaßnahme, die betroffenen Benutzer, die Kommunikation und die Nachkontrolle.
Rechtliche Grenzen und Verantwortlichkeiten
CRA (EU) 2024/2847, Artikel 14 trat für Hersteller am 11. September 2026 in Kraft. Die Meldepflicht für aktiv ausgenutzte Schwachstellen erfordert relevante Belege für eine tatsächliche Ausnutzung; eine CVE-Nummer oder ein hoher Risikowert reicht nicht automatisch aus. Schwere Vorfälle müssen gemäß Artikel 14.5 geprüft werden. Eine frühzeitige Warnung muss innerhalb von 24h und die Meldung innerhalb von 72h nach relevanter Kenntnisnahme erfolgen, beides ohne unnötige Verzögerung. Für AEV muss der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer korrigierenden oder begrenzenden Maßnahme eingereicht werden. Für SI muss der Abschlussbericht innerhalb eines Monats nach der tatsächlichen 72h-Meldung eingereicht werden. Artikel 14.8 behandelt die Information der betroffenen Benutzer.
Die SRP-FAQ und das Felddatensatzverzeichnis der ENISA müssen bei einer tatsächlichen Meldung direkt geprüft werden, da Felder und Plattformfunktionen aktualisiert werden. Ein Word- oder Excel-Status gilt niemals als eingereichte Meldung. Die übrigen wesentlichen CRA-Anforderungen treten in der Regel am 11. Dezember 2027 in Kraft, und Artikel 24.3 für Open-Source-Software-Verantwortliche folgt einem anderen Startzeitpunkt. Bei Bedarf ist eine besondere Bewertung gemäß beispielsweise NIS2, DSGVO und DORA erforderlich.
Der Unterschied zu unseren anderen Dokumenten
Unser umfassenderes CRA-Compliance-Paket umfasst Risikobewertung, SBOM, Sicherheitsanforderungen und umfassende CRA-Meldung. Dieses neue Paket ist stattdessen eine spezialisierte Arbeitskette für einen tatsächlich erhaltenen Bericht oder Vorfall, SRP-Quittungen, Beweise und Kundeninformationen.
Häufig gestellte Fragen
Muss jede Sicherheitslücke gemeldet werden?
Nein. Artikel 14 sieht besondere Schwellenwerte für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle vor. Andere Schwachstellen können eine interne Bearbeitung erfordern, sind aber nicht automatisch obligatorische SRP-Meldungen.
Sendet die Vorlage die Meldung an die ENISA?
Nein. Die Grundlagen bereiten und dokumentieren die Arbeit; ein berechtigter Vertreter muss die Meldung über die tatsächliche SRP-Plattform einreichen.
Sind die PDF-Dateien bearbeitbar?
Sie sind durchsuchbar und druckbar, aber keine interaktiven Formulare. Verwenden Sie die Word-Dateien zum Bearbeiten.
Ist das gesamte Material ins Englische übersetzt?
Nein. Die fünf Arbeitsdokumente und Excel sind auf Schwedisch. Der englische Leitfaden erklärt, wie die schwedischen Dokumente verwendet werden.
Version, Quellen und Transparenz
Ausgabe 1.0, 9. November 2026. KI-unterstützte rechtliche Quellenprüfung von CRA Artikel 14, der Meldungsinformation der Kommission und dem SRP-Material der ENISA am 9. November 2026. Es wurde keine externe unabhängige Rechtsprüfung, keine Prüfung durch die Behörden und keine technische Produktzertifizierung durchgeführt. Das Paket ist eine administrative Unterstützung, keine Garantie für die Einhaltung.
