Fragen
Fragen zu Vulnio und zum CRA
Ist das Rechtsberatung?
Nein. Vulnio zeigt, was die Verordnung sagt, mit Artikelnummern, und was die öffentlichen Schwachstellenquellen melden. Ob etwas gemeldet werden muss, entscheiden Sie als Hersteller. Wenn der Check „unklar“ ergibt, fragen Sie einen Anwalt.
Meldet Vulnio für mich an die ENISA?
Nein. Die zentrale Meldeplattform der ENISA hat derzeit keine API (ENISA-FAQ); Meldungen gibt Ihre benannte Vertretung auf der Plattform ein. Vulnio bereitet den Text in der Reihenfolge der Plattformfelder vor, damit Sie ihn einfügen können.
Wann beginnt die 24-Stunden-Frist?
Wenn der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Vorfall erlangt (Art. 14 Abs. 2 und 4). Die Verordnung definiert „Kenntnis“ nicht. Vulnio zählt alle Fristen ab dem Zeitpunkt, den Sie eintragen. Die ENISA-Plattform zählt ihren 72-Stunden-Zähler derzeit ab der Frühwarnung und kann daher einen späteren Zeitpunkt anzeigen als die Verordnung.
Muss ich melden, wenn CISA KEV oder EUVD einen Treffer liefert?
Nicht automatisch. Art. 14 betrifft Schwachstellen in Ihrem Produkt, für deren Ausnutzung es zuverlässige Hinweise gibt (Art. 3 Nr. 42). Ein Eintrag zeigt, dass irgendwo ausgenutzt wird; Sie prüfen, ob der verwundbare Code in Ihrem Produkt steckt und erreichbar ist.
Sind kleine Unternehmen ausgenommen?
Nein. Die Meldepflicht gilt für jeden Hersteller eines betroffenen Produkts. Gegen Kleinst- und Kleinunternehmen darf für eine verpasste 24-Stunden-Frühwarnung keine Geldbuße verhängt werden (Art. 64 Abs. 10); die 72-Stunden-Meldung und der Abschlussbericht gelten trotzdem.
Was passiert mit meiner hochgeladenen Datei?
Sie wird im Arbeitsspeicher gelesen und verworfen. Vulnio behält Namen, Versionen und Paket-URLs der Komponenten sowie die Treffer. Einzelscans werden nach 30 Tagen gelöscht. Die Komponentenliste geht zur Abfrage an OSV.dev; nichts, was Sie identifiziert, wird übermittelt.
Woher stammen die Schwachstellendaten?
Bekannte Schwachstellen von OSV.dev. Listen aktiv ausgenutzter Schwachstellen aus dem CISA Known Exploited Vulnerabilities Catalog und der ENISA EU Vulnerability Database, zweimal täglich aktualisiert.
Fällt reines Browser-SaaS darunter?
Die Verordnung regelt das nicht eindeutig. Erwägungsgrund 12 verweist SaaS auf die NIS2-Richtlinie, aber bei einem Produkt mit installiertem Client, Agent oder App kann das Backend als „Datenfernverarbeitung“ dazugehören (Art. 3 Nr. 2). Der Check antwortet in diesem Fall „unklar“.
Was fehlt noch?
Vorlagen für die technische Dokumentation und die EU-Konformitätserklärung sowie eine GitHub-App. Sie sind für eine spätere Version geplant.