NIS-2-Schwachstellenmanagement nach Artikel 21(2)(e)
Schwachstellenmanagement hat unter NIS 2 zwei Seiten. Schwachstellen in den eigenen Systemen. Und Schwachstellen, die andere bei Ihnen melden. Artikel 21(2)(e) verankert die Pflicht, CIR (EU) 2024/2690 §6.10 konkretisiert sie für die erfassten digitalen Anbieter, und §30(2)(5) BSIG setzt sie in deutsches Recht um.
Die Kurzfassung
Schwachstellenmanagement ist Punkt (e) der Artikel-21(2)-Liste. Der CIR überschreibt den passenden Abschnitt mit 'Behandlung und Offenlegung von Schwachstellen'. Genau das ist der Punkt. NIS 2 adressiert zwei Dinge gleichzeitig: Schwachstellen in den Systemen, die Sie betreiben, und Schwachstellen, die Außenstehende in Ihren Produkten finden und melden wollen.
Für die erfassten digitalen Anbieter nennt CIR §6.10 fünf Handlungen. Informationen zu Schwachstellen aus CSIRTs, Behörden, Herstellern und Dienstleistern aufnehmen. Soweit angemessen Schwachstellenscans durchführen und die Ergebnisse in geplanten Zeitabständen aufzeichnen. Als kritisch eingestufte Schwachstellen unverzüglich beheben. Schwachstellenbehandlung mit Change-, Patch-, Risiko- und Incident-Management verzahnen. Und eine koordinierte Schwachstellenoffenlegung (CVD) einrichten, abgestimmt mit der nationalen CVD-Politik.
Deutschland nennt Management und Offenlegung von Schwachstellen für jede Einrichtung in §30(2)(5) BSIG, ohne die Form vorzugeben. Das BSI ist nationaler Koordinator für die koordinierte Offenlegung (§5 Abs. 1 BSIG) und betreibt sie über CERT-Bund. NIS 2 selbst etabliert in Artikel 12 zusätzlich eine europäische Schwachstellendatenbank, die von ENISA betrieben wird und der Einrichtungen freiwillig Schwachstellen melden können.
Artikel 21(2)(e) NIS-2-Richtlinie (2022/2555)
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen.
Punkt (e) der zehn Mindestmaßnahmen. Bemerkenswert ist die Verpackung: Schwachstellenbehandlung und Offenlegung sitzen innerhalb einer breiteren Pflicht zu Erwerb, Entwicklung und Wartung. Der CIR teilt das in getrennte Nummern auf (6.1 Beschaffung, 6.10 Schwachstellen).
CIR (EU) 2024/2690, Anhang §6.10
Die betreffenden Einrichtungen erlangen Informationen über technische Schwachstellen in ihren Netz- und Informationssystemen, bewerten ihre Exposition gegenüber solchen Schwachstellen und ergreifen geeignete Maßnahmen zum Umgang mit diesen Schwachstellen.
Unmittelbar geltendes EU-Recht für die in Art. 1 CIR genannten Einrichtungsarten (DNS, TLDs, Cloud, Rechenzentren, MSPs, Vertrauensdienste und weitere). §6.10.2 listet fünf konkrete Handlungen. §6.10.3 verlangt, dass eine bewusste Entscheidung gegen Maßnahmen dokumentiert wird. §6.10.4 verlangt eine Überprüfung der Kanäle, über die Schwachstelleninformationen bezogen werden, in geplanten Abständen.
§30(2)(5) BSIG (Deutschland)
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen.
Deutschland übernimmt den EU-Wortlaut nahezu identisch. Der nationale CVD-Rahmen läuft über das CERT-Bund-Programm beim BSI, das hinter der Formulierung 'abgestimmt mit den anwendbaren nationalen CVD-Politiken' aus CIR §6.10.2(e) steht.
Informationen reinholen
Schwachstelleninformationen aus CSIRTs, Behörden, Herstellern und Dienstleistern verfolgen. Schwachstellenscans in einer der Umgebung angemessenen Frequenz fahren. Die Scanner (Tenable, Qualys, Nessus, OpenVAS) sind die technische Seite. Die Feeds (CERT-Bund-Newsletter, Hersteller-Advisories, NVD) sind die Awareness-Seite. Beides ist nötig.
Kritisches beheben, Rest dokumentieren
Kritische Schwachstellen werden unverzüglich behoben. Schwachstellenbehandlung muss mit Change-, Patch-, Risiko- und Incident-Management verzahnt sein. Wo Sie sich gegen Maßnahmen entscheiden, verlangt §6.10.3 entweder einen dokumentierten Minderungsplan oder eine schriftliche Begründung, warum nichts zu tun ist. Kein stilles Backlog.
Koordinierte Offenlegung einrichten
Verfahren zum Empfang von Schwachstellenmeldungen Außenstehender und zur koordinierten Offenlegung, abgestimmt mit der anwendbaren nationalen CVD-Politik. Mindestmechanik: ein veröffentlichter Kontaktkanal (security@-Postfach oder eine security.txt), eine Bestätigungsfrist, ein Behebungsfenster und eine koordinierte Veröffentlichung. CERT-Bund vermittelt bei Bedarf.
Periodisch, nicht reaktiv
Nummer 6.10.2 Buchst. b verlangt, soweit angemessen, Schwachstellen-Scans und die Aufzeichnung der Ergebnisse in geplanten Zeitabständen, Nummer 6.10.4 die Überprüfung der Überwachungskanäle in geplanten Abständen. Für die von der CIR erfassten Einrichtungen heißt das: schriftlich festgelegte Frequenz. Dokumentieren Sie, wie oft Sie scannen und wie oft Sie Ihre Feed-Liste prüfen, und halten Sie sich daran. Ein Intervall setzt kein Text.
Offenlegung gehört zur Pflicht
§ 30 Abs. 2 Nr. 5 BSIG und Art. 21 Abs. 2 Buchst. e NIS 2 nennen die Offenlegung von Schwachstellen neben ihrem Management, für jede Einrichtung. Für die erfassten digitalen Anbieter verlangt CIR Nummer 6.10.2 Buchst. e ein Verfahren im Einklang mit dem nationalen Konzept für die koordinierte Offenlegung. Ein schlankes Setup: ein security@-Postfach, das jemand liest, eine kurze Richtlinie und eine security.txt, die darauf zeigt.
BSI / CERT-Bund CVD-Programm
Das BSI betreibt CERT-Bund, das nationale CSIRT, und führt ein Programm zur koordinierten Offenlegung von Schwachstellen. Forschende können über CERT-Bund melden, das BSI koordiniert mit betroffenen Herstellern. § 5 Abs. 1 BSIG macht das BSI zum nationalen Koordinator für die koordinierte Offenlegung von Schwachstellen nach Art. 12 Abs. 1 NIS 2. Wer erstmals einen Offenlegungsprozess aufsetzt, kann sich an der CVD-Leitlinie des BSI orientieren.
Europäische Schwachstellendatenbank (Artikel 12 NIS 2)
Artikel 12 NIS 2 etabliert eine europäische Schwachstellendatenbank, die von ENISA betrieben wird. Einrichtungen können Schwachstellen freiwillig dort melden. Das ist kein verpflichtender Meldekanal nach Artikel 23. Es ist eine EU-weite Referenzressource, die Schwachstelleninformationen über Mitgliedstaaten hinweg bündelt.
Nationale CSIRTs als CVD-Koordinatoren
Jeder Mitgliedstaat benennt eines seiner CSIRTs als Koordinator für die koordinierte Offenlegung (Art. 12 Abs. 1 NIS 2). Nationale Gesetze können über die Richtlinie hinausgehen (Art. 5), daher zählt der nationale Text; außerdem unterscheiden sich das zuständige CSIRT und seine Abläufe.
Wir patchen am Patch Tuesday, das reicht.
Für die erfassten digitalen Anbieter nicht: Nummer 6.10.2 Buchst. c verlangt die unverzügliche Behebung kritischer Schwachstellen. Patch Tuesday ist ein Release-Rhythmus eines Herstellers. Ein Zero-Day, der am Donnerstag mit aktiver Ausnutzung veröffentlicht wird, wartet nicht bis nächste Woche. Eine Patch-Frequenz für Routinefälle und ein Out-of-Band-Prozess für kritische Fälle decken beides ab.
Wir haben keinen CVD-Prozess, weil uns nie jemand etwas meldet.
Für die erfassten digitalen Anbieter verlangt CIR Nummer 6.10.2 Buchst. e das Verfahren vorab, nicht erst, wenn Meldungen kommen. Für alle anderen nennt § 30 Abs. 2 Nr. 5 BSIG die Offenlegung ohne vorgeschriebene Form. Ein security@-Postfach und eine einseitige Richtlinie sind in beiden Fällen ein kleiner, sinnvoller Schritt.
Schwachstellenscans sind Sache des Security-Teams.
Sind sie, bis Sie §6.10.2(d) lesen: Schwachstellenbehandlung muss mit Change-, Patch-, Risiko- und Incident-Management konsistent sein. Damit ist Schwachstellenmanagement ein bereichsübergreifender Prozess, der IT-Betrieb, Entwicklung und Risiko einschließt, keine isolierte Security-Aufgabe.
Die Offenlegungsseite ist die meist unterdokumentierte Hälfte. Realistisches Minimum: ein security@ihredomain-Postfach, das auf zwei Personen geroutet ist, eine einseitige Disclosure-Richtlinie und eine security.txt unter /.well-known/security.txt, die auf das Postfach zeigt. Für Fristen erwartet die CVD-Leitlinie des BSI eine Eingangsbestätigung des Herstellers innerhalb von drei Werktagen und räumt 45 bis 90 Tage zur Behebung ein, die international üblichen Werte.
- Richtlinie (EU) 2022/2555 (NIS 2), Artikel 12 und Artikel 21(2)(e): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Durchführungsverordnung (EU) 2024/2690 (CIR), Anhang §6.10: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSI-Gesetz (BSIG), §30(2)(5) in der Fassung des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes
- BSI / CERT-Bund Programm zur koordinierten Offenlegung von Schwachstellen: bsi.bund.de
- ENISA Europäische Schwachstellendatenbank (Artikel 12 NIS 2)
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Beschaffung & Entwicklung
Die Regeln für Kauf, Updates und Schwachstellen schreiben
Worauf Sie beim Kauf achten, wie Updates kommen und wer Lücken schließt.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
