NIS2 behandelt Schwachstellen auf zwei Ebenen. Artikel 12 verpflichtet jeden Mitgliedstaat, ein CSIRT als Koordinator für die koordinierte Offenlegung von Schwachstellen zu benennen, und lässt die ENISA eine europäische Schwachstellendatenbank betreiben, die seit Mai 2025 online ist. Artikel 21 Absatz 2 Buchstabe e verpflichtet wesentliche und wichtige Einrichtungen, Management und Offenlegung von Schwachstellen in ihre Sicherheitsmaßnahmen aufzunehmen.
Dieser Leitfaden behandelt, was Artikel 12 einrichtet, die europäische Schwachstellendatenbank, was Ihr Unternehmen tun muss, die strengeren Regeln für digitale Anbieter und Hersteller, nationale Ergänzungen, eine Vorlage für eine Offenlegungsleitlinie, was das Recht offen lässt, und eine Checkliste.
| Vorschrift | Wen sie bindet | Was sie verlangt | Stand September 2026 |
|---|---|---|---|
| NIS2 Art. 7 Abs. 2 Buchst. c | Mitgliedstaaten | Nationales Konzept für das Management von Schwachstellen und die Förderung der koordinierten Offenlegung | Teil jeder nationalen Strategie |
| NIS2 Art. 12 Abs. 1 | Mitgliedstaaten und ihre CSIRTs | Ein koordinierendes CSIRT, das Meldungen entgegennimmt, auf Wunsch anonym | Fällig seit dem 18. Oktober 2024 |
| NIS2 Art. 12 Abs. 2 | ENISA | Eine europäische Schwachstellendatenbank | EUVD am 13. Mai 2025 gestartet |
| NIS2 Art. 21 Abs. 2 Buchst. e | Wesentliche und wichtige Einrichtungen | Management und Offenlegung von Schwachstellen als Teil der Sicherheitsmaßnahmen | Über nationales Recht, fällig seit dem 18. Oktober 2024 |
| Durchführungsverordnung 2024/2690, Anhang, Abschnitt 6.10 | Cloud, Rechenzentren, MSP, MSSP und andere aufgeführte digitale Anbieter | Überwachen, scannen, kritische Schwachstellen beheben, Offenlegungsverfahren | In Kraft seit dem 7. November 2024 |
| CRA Art. 14 | Hersteller von Produkten mit digitalen Elementen | Aktiv ausgenutzte Schwachstellen melden, zuerst innerhalb von 24 Stunden | Gilt seit dem 11. September 2026 |
| CRA Anhang I Teil II | Hersteller | Offenlegungsstrategie, Kontaktadresse, Software-Stückliste | Ab dem 11. Dezember 2027 |
Was ist koordinierte Offenlegung von Schwachstellen nach NIS2?
Erwägungsgrund 58 beschreibt die koordinierte Offenlegung von Schwachstellen (CVD) als strukturiertes Verfahren: Eine Schwachstelle wird dem Hersteller oder Anbieter gemeldet, damit er sie diagnostizieren und beheben kann, „bevor detaillierte Informationen über die Schwachstelle an Dritte oder die Öffentlichkeit weitergegeben werden“. Der Erwägungsgrund verweist für Leitlinien auf ISO/IEC 29147 (Offenlegung) und ISO/IEC 30111 (Behandlung). NIS2 schreibt keine der beiden Normen vor.
Was verlangt Artikel 12 NIS2?
Artikel 12 richtet sich an die Mitgliedstaaten und die ENISA, nicht an Unternehmen.
Ein CSIRT als Koordinator
Jeder Mitgliedstaat muss eines seiner CSIRTs als Koordinator benennen. Erforderlichenfalls fungiert es als „vertrauenswürdiger Vermittler“ zwischen der Person, die eine Schwachstelle meldet, und dem betroffenen Hersteller oder Anbieter. Seine Aufgaben sind:
- die betroffenen Einrichtungen ermitteln und kontaktieren;
- die Personen unterstützen, die eine Schwachstelle melden;
- Zeitpläne für die Offenlegung aushandeln und Schwachstellen managen, die mehrere Einrichtungen betreffen.
Jeder muss dem Koordinator melden können, auf Wunsch anonym, und der Koordinator muss sorgfältige Folgemaßnahmen sicherstellen. Kann eine Schwachstelle erhebliche Auswirkungen in mehr als einem Mitgliedstaat haben, arbeiten die Koordinatoren gegebenenfalls im CSIRTs-Netzwerk zusammen. Wie sich der Koordinator in das Gefüge der nationalen Stellen einfügt, beschreibt der Beitrag zur institutionellen Architektur von NIS2. Artikel 7 Absatz 2 Buchstabe c ergänzt, dass jede nationale Strategie ein Konzept für das Management von Schwachstellen enthalten muss, das die koordinierte Offenlegung fördert und erleichtert.
Was Artikel 12 nicht regelt
Er setzt keine Frist für die Offenlegung; Zeitpläne werden ausgehandelt. Er begründet für Ihr Unternehmen keine Pflicht, Schwachstellen zu melden: Die Meldepflicht nach Artikel 23 betrifft erhebliche Sicherheitsvorfälle. Er gewährt Forschern auch keine rechtliche Immunität. Erwägungsgrund 60 ermutigt die Mitgliedstaaten lediglich, Leitlinien für die Nichtverfolgung von Forschern im Bereich der Informationssicherheit und eine Ausnahme von der zivilrechtlichen Haftung zu verabschieden. Entscheidend ist das nationale Recht.
Was ist die europäische Schwachstellendatenbank (EUVD)?
Artikel 12 Absatz 2 verpflichtet die ENISA, eine europäische Schwachstellendatenbank zu entwickeln und zu pflegen. Einrichtungen, unabhängig davon, ob sie in den Anwendungsbereich von NIS2 fallen, und ihre Anbieter können dort freiwillig öffentlich bekannte Schwachstellen registrieren, und alle Interessenträger erhalten Zugang. Die Einträge beschreiben die Schwachstelle, die betroffenen Produkte oder Dienste und den Schweregrad sowie verfügbare Patches oder, falls es keine gibt, Hinweise der Behörden oder CSIRTs zur Abhilfe.
Die ENISA hat sie am 13. Mai 2025 als EUVD gestartet. Sie bündelt CVE-Einträge, Sicherheitshinweise der Hersteller, den Katalog Known Exploited Vulnerabilities der CISA und Informationen nationaler CSIRTs, mit Dashboards für kritische, ausgenutzte und EU-koordinierte Schwachstellen. Erwägungsgrund 63 fordert die ENISA auf, eine enge Zusammenarbeit mit dem CVE-System zu prüfen, statt es zu duplizieren. Für die meisten Unternehmen ist die EUVD eine Quelle, die sie beobachten, kein Register, in das sie eintragen.
Was muss Ihr Unternehmen nach NIS2 bei Schwachstellen tun?
Artikel 21 Absatz 2 Buchstabe e nennt unter den Mindestmaßnahmen „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen“. Er gilt für wesentliche und wichtige Einrichtungen gleichermaßen, im Verhältnis zu ihrem Risiko, und geht nicht weiter ins Detail. Erwägungsgrund 58 erklärt die Absicht: Einrichtungen, die Systeme entwickeln oder verwalten, „sollten“ Verfahren für die Behandlung von Schwachstellen festlegen, und Hersteller und Anbieter „sollten“ Informationen über Schwachstellen von Dritten entgegennehmen können. Die Maßnahme hat also zwei Hälften.
Management: eigene Schwachstellen finden und beheben
Ein sinnvoller Ansatz, den Auditoren von Control A.8.8 der ISO 27001 kennen, sieht so aus:
- ein Verzeichnis der Systeme und Software führen, einschließlich allem, was aus dem Internet erreichbar ist;
- in geplanten Abständen scannen und die Hinweise von Herstellern, CSIRTs und der EUVD verfolgen;
- jeden Befund nach Schweregrad und Exposition bewerten, auch danach, ob er ausgenutzt wird;
- Patch-Fristen je Bewertung festlegen, zum Beispiel Tage für ausgenutzte kritische Lücken und Wochen für den Rest;
- jede Ausnahme mit einem Verantwortlichen, einer Begründung und einem Enddatum nachverfolgen.
Diese Fristen sind Praxis. NIS2 legt keine Patch-Frist fest.
Offenlegung: anderen ermöglichen, Sie zu informieren
Forscher, Kunden und CSIRTs werden Schwachstellen in Ihren Systemen finden. Damit sie Sie erreichen können, brauchen Sie in der Praxis:
- eine kurze veröffentlichte Offenlegungsleitlinie;
- eine security.txt-Datei unter /.well-known/security.txt (RFC 9116), deren einzige Pflichtfelder Contact und Expires sind;
- ein überwachtes Postfach mit einem benannten Verantwortlichen und einer Vertretung;
- eine Triage innerhalb einer vereinbarten Frist und eine Aufzeichnung jeder Meldung;
- wenn Sie Software herstellen, Sicherheitshinweise, sobald Sie eine Korrektur ausliefern.
Welche strengeren Regeln gelten für digitale Anbieter?
Für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Content-Delivery-Netzwerken, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter wird die Durchführungsverordnung (EU) 2024/2690 konkret. Abschnitt 6.10 ihres Anhangs verpflichtet sie,
- Informationen über Schwachstellen zu überwachen, etwa Mitteilungen von CSIRTs und Behörden sowie Informationen von Anbietern;
- gegebenenfalls in geplanten Abständen zu scannen und Nachweise über die Ergebnisse aufzubewahren;
- für ihren Betrieb kritische Schwachstellen unverzüglich zu behandeln;
- den Umgang mit Schwachstellen mit dem Änderungs-, Patch-, Risiko- und Vorfallmanagement abzustimmen;
- ein Verfahren für die Offenlegung von Schwachstellen im Einklang mit dem geltenden nationalen Konzept für die koordinierte Offenlegung von Schwachstellen festzulegen.
Wo die Auswirkungen es rechtfertigen, planen und ergreifen sie Abhilfemaßnahmen; andernfalls dokumentieren sie, warum keine Behebung nötig ist. Abschnitt 6.6 ergänzt, dass Patches innerhalb einer angemessenen Frist eingespielt, getestet und aus vertrauenswürdigen Quellen bezogen werden und dass eine Entscheidung gegen einen Patch schriftlich begründet wird. Andere Einrichtungen sind daran nicht gebunden, doch die Verordnung ist eine konkrete amtliche Auslegung von Artikel 21 Absatz 2 Buchstabe e, wie im Beitrag zu den zehn Maßnahmen nach Artikel 21 dargestellt.
Was ergänzt die Cyberresilienzverordnung für Hersteller?
Wenn Sie Produkte mit digitalen Elementen (Hardware oder Software) auf dem EU-Markt in Verkehr bringen, gilt die Cyberresilienzverordnung (Verordnung (EU) 2024/2847), vorbehaltlich einiger sektoraler Ausnahmen, unabhängig davon, ob Sie unter NIS2 fallen.
- Seit dem 11. September 2026 verpflichtet Artikel 14 Hersteller, aktiv ausgenutzte Schwachstellen in ihren Produkten zu melden: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb von 14 Tagen, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist. Die Meldungen gehen über die einheitliche Meldeplattform der ENISA an das nach Artikel 12 NIS2 als Koordinator benannte CSIRT und an die ENISA. Siehe CRA-Meldepflichten.
- Ab dem 11. Dezember 2027 verlangt Artikel 13 Absatz 8 eine wirksame Behandlung von Schwachstellen während des Unterstützungszeitraums gemäß Anhang I Teil II: eine Software-Stückliste, eine Strategie zur koordinierten Offenlegung von Schwachstellen, eine Kontaktadresse für Meldungen und die öffentliche Bekanntgabe behobener Schwachstellen.
Ihre NIS2-Kunden werden danach fragen. Artikel 21 Absatz 3 verpflichtet sie, die Produktqualität und die sichere Entwicklung ihrer unmittelbaren Anbieter zu berücksichtigen, wie im Beitrag zur Sicherheit der Lieferkette nach NIS2 beschrieben.
Gehen nationale Gesetze weiter?
Einige ja. Nach Angaben des Zentrums für Cybersicherheit Belgien (CCB) führt das belgische NIS2-Gesetz eine Leitlinie zur koordinierten Offenlegung von Schwachstellen als elfte Maßnahme für wesentliche und wichtige Einrichtungen auf, neben den zehn Maßnahmen der Richtlinie. Einzelheiten stehen im Beitrag zum belgischen NIS2-Gesetz. Prüfen Sie Ihr eigenes nationales Recht und lesen Sie Ihr nationales Konzept für die koordinierte Offenlegung von Schwachstellen: Die Durchführungsverordnung 2024/2690 verweist direkt darauf.
Vorlage für eine Leitlinie zur Offenlegung von Schwachstellen
Eine Leitlinie muss nicht lang sein. Diese Minimalversion deckt ab, worauf Forscher achten. Die Reaktionszeiten sind Beispiele, keine gesetzlichen Anforderungen; lassen Sie die rechtlichen Formulierungen anwaltlich prüfen.
LEITLINIE ZUR OFFENLEGUNG VON SCHWACHSTELLEN [Unternehmen] v1.0, [Datum]
Geltungsbereich
Erfasst: [Domains, Anwendungen, Produkte und Versionen]
Nicht erfasst: Dienste Dritter, Denial of Service,
Social Engineering, physische Tests
So melden Sie
E-Mail: security@[Domain] (Schlüssel: [URL])
security.txt: https://[Domain]/.well-known/security.txt
Angaben: betroffenes System, Schritte zur Reproduktion,
Auswirkungen
Anonyme Meldungen werden angenommen.
Unsere Zusagen
Eingangsbestätigung innerhalb von [3] Arbeitstagen
Erste Einschätzung innerhalb von [10] Arbeitstagen
Laufende Information bis zur Behebung
Abstimmung eines Offenlegungstermins mit Ihnen, in der Regel
innerhalb von [90] Tagen
Namentliche Nennung nach Veröffentlichung der Korrektur,
wenn Sie das wünschen
Was wir von Ihnen erwarten
Nur so viel testen, wie zum Nachweis der Schwachstelle nötig ist
Nicht mehr Daten abrufen, ändern oder speichern als nötig
Keine Dienste stören und keinen Nutzern schaden
Nichts vor dem vereinbarten Termin veröffentlichen
Koordinierung
Wenn wir nicht antworten oder mehrere Hersteller betroffen sind,
können Sie sich an das als Koordinator benannte nationale CSIRT
wenden: [Name, URL]
Rechtliches
Wir ergreifen keine rechtlichen Schritte gegen Forschung in
gutem Glauben, die diese Leitlinie einhält.
[Mit dem nationalen Recht abgleichen.]Was lässt das Recht offen?
Der Rechtstext endet bei „Management und Offenlegung von Schwachstellen“. Er sagt nicht, wie schnell, wie gründlich oder wie Sie es nachweisen. In der Praxis zeigen sich drei Lücken.
Das Postfach. Eine veröffentlichte Leitlinie ist wertlos, wenn security@ in einem gemeinsamen Postfach landet, das niemand liest. Jemand muss für den Eingang verantwortlich sein und erkennen, wann eine Meldung in Wahrheit ein Sicherheitsvorfall ist.
Das Verzeichnis. Ob eine neue CVE Sie betrifft, können Sie niemandem sagen, ohne zu wissen, welche Systeme und Versionen Sie betreiben. Bestandslisten erfassen meist die Server und übersehen Appliances, SaaS-Integrationen und alte Subdomains.
Die Nachweise. Eine Behörde, die nach Artikel 21 Absatz 2 Buchstabe e fragt, will Scanergebnisse sehen, Patch-Zeiten gemessen an Ihren eigenen Zielen und die Ausnahmen, die Sie akzeptiert haben, samt Begründung. Einmal im Jahr von Hand zusammengetragen, ist diese Dokumentation schon bei ihrer Fertigstellung veraltet. Laufend aus Scannern, Endpoint-Tools und dem Ticketsystem gespeist, mit einer Person, die die Ausnahmen prüft, zeigt sie, dass die Maßnahme tatsächlich umgesetzt wird. So arbeitet die CloudSoul Plattform: automatisierte Erfassung von Nachweisen mit Human-in-the-Loop-Expertise. Ein Sicherheitsaudit zeigt, wo Ihr Schwachstellenprozess heute steht, und das umfassendere Programm finden Sie auf der Seite zur NIS2-Compliance.
Checkliste zur Offenlegung von Schwachstellen nach NIS2
- Veröffentlichen Sie eine Offenlegungsleitlinie und eine security.txt-Datei mit aktuellem Expires-Datum.
- Benennen Sie für das Sicherheitspostfach einen Verantwortlichen und eine Vertretung, und legen Sie eine Reaktionszeit fest.
- Führen Sie ein Verzeichnis der Systeme und Software, einschließlich der aus dem Internet erreichbaren Assets.
- Verfolgen Sie die Hinweise Ihrer Anbieter, Ihres nationalen CSIRT und der EUVD.
- Scannen Sie in geplanten Abständen und bewahren Sie die Ergebnisse auf.
- Legen Sie Patch-Fristen nach Schweregrad fest und dokumentieren Sie jede Ausnahme mit Begründung.
- Ermitteln Sie Ihr nationales koordinierendes CSIRT und lesen Sie das nationale Konzept für die koordinierte Offenlegung von Schwachstellen.
- Wenn Sie Produkte herstellen, erfüllen Sie schon jetzt die CRA-Meldepflichten und planen Sie die Offenlegungsregeln des CRA ab Dezember 2027 ein.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 7, 12, 21 und 23 und Erwägungsgründe 58 bis 63, EUR-Lex; Artikeltext auch auf nis-2-directive.com.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Anhang, Abschnitte 6.6 und 6.10, EUR-Lex.
- Verordnung (EU) 2024/2847 (Cyberresilienzverordnung), Artikel 13, 14 und 71 und Anhang I Teil II, EUR-Lex.
- ENISA, Die europäische Schwachstellendatenbank für mehr digitale Sicherheit nutzen, 13. Mai 2025, und die EUVD.
- Zentrum für Cybersicherheit Belgien, NIS2-Pflichten.
- IETF, RFC 9116: Ein Dateiformat zur Unterstützung der Offenlegung von Sicherheitslücken, April 2022.
- ISO, ISO/IEC 29147:2018, Offenlegung von Schwachstellen und ISO/IEC 30111:2019, Prozesse zur Behandlung von Schwachstellen.
Häufige Fragen
Was verlangt Artikel 12 NIS2?
Jeder Mitgliedstaat muss eines seiner CSIRTs als Koordinator für die koordinierte Offenlegung von Schwachstellen benennen. Es fungiert als vertrauenswürdiger Vermittler zwischen Personen, die Schwachstellen melden, und den betroffenen Herstellern oder Anbietern. Artikel 12 Absatz 2 verpflichtet die ENISA, eine europäische Schwachstellendatenbank zu pflegen, die am 13. Mai 2025 als EUVD gestartet ist.
Ist eine Leitlinie zur Offenlegung von Schwachstellen nach NIS2 Pflicht?
Artikel 21 Absatz 2 Buchstabe e verpflichtet wesentliche und wichtige Einrichtungen, Management und Offenlegung von Schwachstellen in ihre Sicherheitsmaßnahmen aufzunehmen, schreibt aber kein Dokument vor. Digitale Anbieter, die unter die Durchführungsverordnung (EU) 2024/2690 fallen, müssen ein Verfahren zur Offenlegung festlegen, und einige nationale Gesetze, etwa das belgische, führen eine Leitlinie zur koordinierten Offenlegung von Schwachstellen als eigene Maßnahme auf.
Müssen Unternehmen nach NIS2 Schwachstellen an das CSIRT melden?
Nein. Artikel 23 NIS2 verlangt die Meldung erheblicher Sicherheitsvorfälle, nicht von Schwachstellen. Hersteller von Produkten mit digitalen Elementen müssen jedoch nach Artikel 14 der Cyberresilienzverordnung aktiv ausgenutzte Schwachstellen melden; diese Pflicht gilt seit dem 11. September 2026.
Schützt NIS2 ethische Hacker vor Strafverfolgung?
Nicht direkt. Erwägungsgrund 60 ermutigt die Mitgliedstaaten, Leitlinien für die Nichtverfolgung von Forschern im Bereich der Informationssicherheit und eine Ausnahme von der zivilrechtlichen Haftung zu verabschieden. Ob ein Forscher geschützt ist, hängt vom nationalen Recht ab.
Was ist die EUVD?
Die europäische Schwachstellendatenbank, die die ENISA nach Artikel 12 Absatz 2 NIS2 betreibt. Sie ist am 13. Mai 2025 gestartet und bündelt Quellen wie CVE-Einträge, Sicherheitshinweise von Herstellern und nationale CSIRTs. Die Registrierung durch Einrichtungen ist freiwillig.
