ENISA – Agentur der Europäischen Union für Cybersicherheit
Die ENISA (Agentur der Europäischen Union für Cybersicherheit) ist die zentrale Stelle der EU für Fachwissen und Koordination im Bereich der Cybersicherheit. Gemäß der Cyberresilienz-Verordnung betreibt die ENISA die einheitliche Meldeplattform, über die Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle melden müssen – mit einer Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung –, und zwar gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA.
Wichtige Fakten
| Detail | Information |
|---|---|
| Vollständiger Name | Agentur der Europäischen Union für Cybersicherheit |
| Früherer Name | Europäische Agentur für Netz- und Informationssicherheit (bis 2019) |
| Gegründet | 2004 |
| Dauerhaftes Mandat | EU-Cybersicherheitsverordnung (Verordnung (EU) 2019/881) |
| Hauptsitz | Athen, Griechenland (operatives Zentrum in Heraklion, Kreta) |
| Budget (2024) | ~25 Millionen € |
| Mitarbeiter | ca. 100 Experten |
| Schlüsselrolle gemäß CRA | Betreibt die einheitliche Meldeplattform (Artikel 16) |
Die Rolle der ENISA im CRA-Ökosystem
1. Zentrale Meldestelle für Schwachstellen
Gemäß der CRA betreibt die ENISA die einheitliche Meldeplattform für die EU:
| Meldung | Frist | Erforderliche Informationen |
|---|---|---|
| Frühwarnung (aktiv ausgenutzte Schwachstelle oder schwerer Vorfall) | 24 Stunden nach Kenntniserlangung – über die Plattform an das als Koordinator benannte CSIRT und die ENISA | Mitgliedstaaten, in denen das Produkt bereitgestellt wird; bei Vorfällen, ob böswillige Handlungen vermutet werden |
| Meldung der Schwachstelle / des Vorfalls | 72 Stunden nach Kenntniserlangung | Allgemeine Informationen über das Produkt, den Exploit und die Schwachstelle bzw. den Vorfall sowie Korrektur- oder Minderungsmaßnahmen |
| Abschlussbericht | Schwachstelle: 14 Tage, nachdem eine Korrektur- oder Minderungsmaßnahme verfügbar ist; schwerer Vorfall: ein Monat nach der 72-Stunden-Meldung | Beschreibung, Schweregrad und Auswirkungen; Korrekturmaßnahmen; bei Vorfällen die wahrscheinliche Grundursache |
Entscheidend für Hersteller: Wenn Ihr Produkt in der gesamten EU bereitgestellt wird und eine CVE für eine der Komponenten Ihrer SBOM veröffentlicht wird, müssen Sie innerhalb von 24 Stunden, nachdem Sie Kenntnis davon erlangt haben, dass die Schwachstelle in Ihrem Produkt aktiv ausgenutzt wird, über die einheitliche Meldeplattform eine Frühwarnung übermitteln. Dies erfordert eine automatisierte Schwachstellenüberwachung – eine manuelle Verfolgung ist bei großem Umfang nicht ausreichend.
2. EU-Cybersicherheitszertifizierung
Die ENISA entwickelt gemäß der Cybersicherheitsverordnung EU-weite Zertifizierungssysteme:
| System | Status | Anwendungsbereich |
|---|---|---|
| EUCC (EU Common Criteria) | Angenommen | IKT-Produkte, die nach Common Criteria bewertet werden |
| EUCS (EU Cloud Services) | In Entwicklung | Anbieter von Cloud-Diensten |
| EU5G (5G Security) | In Entwicklung | 5G-Netzausrüstung und -Komponenten |
| CRA-Zertifizierung | Erwartet | Kritische Produktkategorien gemäß CRA |
3. Koordination und Beratung
| Funktion | Beschreibung |
|---|---|
| CSIRTs-Netzwerk | Koordiniert die nationalen Computer Security Incident Response Teams |
| EU-CyCLONe | Cyberkrisenmanagement für groß angelegte Vorfälle |
| Bedrohungslandschaft | Jährlicher Bericht „ENISA Threat Landscape“ – die wichtigste Publikation der EU zu Bedrohungsinformationen |
| Leitlinien | Veröffentlicht Implementierungsleitlinien für NIS2, CRA und Cybersicherheitsstandards |
| Schulungen | ENISA Academy – Cybersicherheitsschulungen für Fachleute und politische Entscheidungsträger |
ENISA und die NIS2-Richtlinie
Während die CRA die Meldung von Produkt-Schwachstellen über die einheitliche Meldeplattform abdeckt, regelt die NIS2 die Meldung von Vorfällen in Organisationen:
| Aspekt | CRA → als Koordinator benanntes CSIRT + ENISA | NIS2 → CSIRT |
|---|---|---|
| Wer meldet | Produkthersteller | Wesentliche/wichtige Einrichtungen |
| Was wird gemeldet | Aktiv ausgenutzte Schwachstellen und schwere Vorfälle mit Auswirkungen auf die Produktsicherheit | Cybersicherheitsvorfälle, die die Organisation betreffen |
| Frist | 24 Stunden (Frühwarnung) | 24 Stunden (Erstmitteilung) |
| Was geschieht danach | Das empfangende CSIRT leitet die Meldung über die Plattform an die CSIRTs der anderen Mitgliedstaaten weiter | Nationales CSIRT koordiniert die lokale Reaktion |
| Überschneidung | Eine Produktschwachstelle, die einen Vorfall in einer Organisation verursacht, löst beide Meldepflichten aus |
Auswirkungen auf Hardwarehersteller
Für Unternehmen, die vernetzte Hardwareprodukte für den EU-Markt entwickeln:
- CRA-Meldeprozess einrichten – Etablieren Sie interne Verfahren für die 24-Stunden-Frühwarnung, die 72-Stunden-Meldung und den Abschlussbericht.
- Schwachstellenüberwachung automatisieren – Nutzen Sie die SBOM-Überwachung, um Ihre Komponenten kontinuierlich mit der CVE-Datenbank abzugleichen.
- Ein PSIRT benennen – Das Product Security Incident Response Team ist die Schnittstelle des Herstellers zum als Koordinator benannten CSIRT und zur ENISA.
- Prozess testen – Führen Sie Planspiele durch, die eine Schwachstellenmeldung simulieren, um die Reaktionszeit zu validieren.
Genau das automatisiert unser SBOM Monitoring Service – kontinuierlicher CVE-Abgleich mit der SBOM Ihres Produkts mit vorformatierten CRA-Meldungen, die zur Einreichung bereitstehen.
Verwandte Begriffe
- CRA – Die Verordnung, die für aktiv ausgenutzte Schwachstellen eine 24-Stunden-Frühwarnung an das als Koordinator benannte CSIRT und die ENISA vorschreibt.
- NIS2 – Die Richtlinie, die die Meldung von Vorfällen in Organisationen an das nationale CSIRT oder die zuständige Behörde vorschreibt.
- CVE – Die Kennungen zur Nachverfolgung von Schwachstellen; die CRA-Meldepflicht wird durch die aktive Ausnutzung ausgelöst, nicht durch die CVE selbst.
- SBOM – Die Komponenten-Stückliste, die verwendet wird, um Produkte für die CRA-Meldung mit bekannten Schwachstellen abzugleichen.
Offizielle Referenzen
- ENISA – Agentur der Europäischen Union für Cybersicherheit – Offizielle Website der ENISA