Portal
Ein Portal, das Ihre Meldungen durch die Fristen führt.
Meldewerk bildet die Bearbeitung von Schwachstellenmeldungen vollständig ab: vom Eingang über Frühwarnung und Vollmeldung bis zum Abschlussbericht, mit einem Protokoll, das im Prüfungsfall genügt.
Es gibt zwei Wege: eine offene Version zum Selbstbetrieb und einen betreuten Dienst mit Abonnement. Der Kern ist derselbe. Die Verantwortung für den Betrieb unterscheidet sich.
Von der ersten Meldung bis zum Abschlussbericht
Ein Vorgang wächst mit den Daten, die dazukommen: Software-Stückliste, betroffene Versionen, Schwere und Gegenmaßnahmen. Das Portal hält alles am Vorgang und füllt damit die Meldetexte für jede Frist.
- Die meldende Stelle entdeckt eine Schwachstelle und meldet sie über die veröffentlichte Meldestelle des Herstellers.
- Der Hersteller sichtet und bewertet die Meldung am Tag 0 im Meldeprozess.
- Meldewerk erzeugt innerhalb von 24 Stunden nach Kenntnis den Meldeentwurf für die Frühwarnung.
- Der Hersteller reicht die Frühwarnung manuell über die europäische Meldeplattform ein; CSIRT und ENISA registrieren sie.
- Der Hersteller reichert den Vorgang mit Daten an: betroffene Produkte, Versionen und Software-Stückliste.
- Meldewerk erzeugt innerhalb von 72 Stunden den Meldeentwurf für die Vollmeldung.
- Der Hersteller reicht die Vollmeldung manuell ein; die Behörde bestätigt sie.
- Der Hersteller dokumentiert Maßnahmen und die bereitgestellte Aktualisierung.
- Meldewerk erzeugt den Meldeentwurf für den Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme.
- Der Hersteller reicht den Abschlussbericht manuell ein; die Behörde schließt den Vorgang.
Die 14-Tage-Frist läuft ab Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme, nicht ab Kenntnisnahme. Bei Sicherheitsvorfällen gilt ein Monat nach der 72-Stunden-Meldung.
Open Source · AGPL-3.0
Selbst betreiben
Der Portalkern ist öffentlich auf GitHub verfügbar und unter AGPL-3.0 nutzbar. Sie betreiben ihn auf Ihrer eigenen Infrastruktur, behalten alle Daten im Haus und passen Vorlagen und Prozesse an Ihre Organisation an.
- · Vollständiger Funktionsumfang des Kerns
- · Eigene Infrastruktur, eigene Datenhaltung
- · Öffentliches Repository, Community-Support über Issues
- · AGPL-3.0, kommerzielle Zweitlizenz für Anbieter
Coming Soon
Das Repository ist noch nicht veröffentlicht. Wir geben hier bekannt, sobald der Portalkern verfügbar ist.
Wer Meldewerk als Dienst für Dritte anbieten möchte, etwa als Systemhaus, Prüfstelle oder Betreiber, benötigt eine kommerzielle Zweitlizenz. Sprechen Sie uns an.
Managed Service · Abonnement
Betreiben lassen
Wir betreiben das Portal in deutschen Rechenzentren, halten es aktuell und stehen bei einer laufenden Meldung mit Rufbereitschaft daneben. Das passt für Teams, die im Ernstfall keine eigene Betriebsmannschaft stellen.
- · Betrieb und Updates durch neXenio
- · Rufbereitschaft während laufender Fristen
- · Auftragsverarbeitung nach Art. 28 DSGVO
- · Abonnement, monatlich oder jährlich
Konditionen stimmen wir im Gespräch ab.
Was das Portal übernimmt
Eingang
Öffentliches Meldeformular und security.txt für Ihre Domain. Jede Meldung erhält beim Eingang einen Zeitstempel und eine Vorgangsnummer.
Fristen
Der Vorgang zeigt die verbleibende Zeit bis zur 24-Stunden- und zur 72-Stunden-Frist. Die Frist für den Abschlussbericht startet, sobald eine Korrekturmaßnahme als verfügbar erfasst ist. Erinnerung erfolgt vor Fristablauf.
Meldetexte
Vorlagen für Frühwarnung, Vollmeldung und Abschlussbericht mit den Feldern, die ENISA und die CSIRT-Stelle erwarten. Meldeentwurf zum Einreichen. Die Übermittlung erfolgt manuell über die europäische Meldeplattform.
Nachweis
Lückenloses Vorgangsprotokoll, exportierbar als PDF, für Marktaufsicht, Audit und Kundenanfragen.
Produktregister
Produkte, Versionen, Support-Zeiträume und Software-Stückliste je Produkt an einer Stelle.
Offenlegung
Richtlinie zur koordinierten Offenlegung, Kommunikation mit Meldenden und Veröffentlichung von Sicherheitshinweisen.
Einreichung
Meldewerk erzeugt die vollständige Meldung im geforderten Inhaltsumfang. Die Einreichung über die von der ENISA betriebene europäische Meldeplattform nehmen Sie selbst vor. Eine Schnittstelle zur automatisierten Übermittlung stellt die ENISA derzeit nicht bereit.
Portal ansehen oder Konditionen besprechen
Schreiben Sie uns, welcher Weg für Sie in Frage kommt. Wir melden uns mit einem Termin für eine Vorführung und den passenden Konditionen.
Prüfen, was für Sie gilt
Der Check ordnet Ihr Produkt ein und benennt die Lücken, die derzeit offen sind. Das Ergebnis passt unverändert in das Portal.