Art. 3 Modalitäten und Bedingungen für die Geltendmachung von Gründen der Cybersicherheit in Bezug auf die Art der gemeldeten Informationen | Terms and conditions for delaying notifications | CRA

Das CSIRT, das die Meldung ursprünglich erhalten hatdas gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze 1 und 2 der Verordnung (EU) 2024/2847 als Koordinator benannte CSIRT, bei dem die Meldung ursprünglich eingegangen ist;, kann beschließen, die Verbreitung von Meldungen oder Teilen davon an die zuständigen CSIRTs so lange aufzuschieben, wie unbedingt erforderlich, wenn angesichts der Sensibilität der gemeldeten Informationen die aus der Verbreitung ergebenden Cybersicherheitsrisiken gegenüber den Vorteilen in Bezug auf die Sicherheit überwiegen und diese Risiken nicht durch Beschränkungen der Bearbeitung oder Weitergabe der Meldung durch geeignete Protokolle wie das Traffic Light Protocol (TLP) oder das Permissible Actions Protocol (PAP) gemindert werden können und wenn mindestens eine der folgenden Bedingungen erfüllt ist:

Der Herstellereine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich; hat dem CSIRT, das die Meldung ursprünglich erhalten hatdas gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze 1 und 2 der Verordnung (EU) 2024/2847 als Koordinator benannte CSIRT, bei dem die Meldung ursprünglich eingegangen ist;, mitgeteilt, dass voraussichtlich innerhalb von 72 Stunden eine wirksame Risikominderungsmaßnahme, z. B. eine Sicherheitsaktualisierung oder Orientierungshilfen für die Nutzer, verfügbar gemacht wird; wird innerhalb dieses Zeitrahmens keine wirksame Risikominderungsmaßnahme verfügbar gemacht, so leitet das CSIRT, das die Meldung ursprünglich erhalten hatdas gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze 1 und 2 der Verordnung (EU) 2024/2847 als Koordinator benannte CSIRT, bei dem die Meldung ursprünglich eingegangen ist;, die Meldung an die zuständigen CSIRTs weiter;
die in der Meldung enthaltenen Informationen werden angesichts der Art der gemeldeten aktiv ausgenutzten Schwachstelleeine Schwäche, Anfälligkeit oder Fehlfunktion eines Produkts mit digitalen Elementen, die bei einer Cyberbedrohung ausgenutzt werden kann; als ausreichend erachtet, um eine Technik zu ihrer Ausnutzung zu entwickeln, insbesondere wenn die Schwachstelleeine Schwäche, Anfälligkeit oder Fehlfunktion eines Produkts mit digitalen Elementen, die bei einer Cyberbedrohung ausgenutzt werden kann; von Akteuren mit begrenzten Fähigkeiten und Ressourcen leicht erkannt und ausgenutzt werden kann; sobald eine wirksame Risikominderungsmaßnahme, z. B. eine Sicherheitsaktualisierung oder Orientierungshilfen für die Nutzer, verfügbar ist, leitet das CSIRT, das die Meldung ursprünglich erhalten hatdas gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze 1 und 2 der Verordnung (EU) 2024/2847 als Koordinator benannte CSIRT, bei dem die Meldung ursprünglich eingegangen ist;, die Meldung an die zuständigen CSIRTs weiter;
das CSIRT, das die Meldung ursprünglich erhalten hatdas gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze 1 und 2 der Verordnung (EU) 2024/2847 als Koordinator benannte CSIRT, bei dem die Meldung ursprünglich eingegangen ist;, kann ist den zuständigen CSIRTs ausreichende Informationen zur Verfügung stellen, damit die zuständigen CSIRTs angemessene Risikominderungsmaßnahmen ergreifen können; sobald eine wirksame Risikominderungsmaßnahme, z. B. eine Sicherheitsaktualisierung oder Orientierungshilfen für die Nutzer, verfügbar ist, leitet das CSIRT, das die Meldung ursprünglich erhalten hatdas gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze 1 und 2 der Verordnung (EU) 2024/2847 als Koordinator benannte CSIRT, bei dem die Meldung ursprünglich eingegangen ist;, die Meldung an die zuständigen CSIRTs weiter;
das CSIRT, das die Meldung zu der aktiv ausgenutzten Schwachstelleeine Schwäche, Anfälligkeit oder Fehlfunktion eines Produkts mit digitalen Elementen, die bei einer Cyberbedrohung ausgenutzt werden kann; ursprünglich erhalten hat, wurde im Rahmen einer koordinierten Offenlegung von Schwachstellen, für die dieses CSIRT als vertrauenswürdiger Vermittler gemäß Artikel 12 Absatz 1 der Richtlinie (EU) 2022/2555 fungiert, darauf aufmerksam gemacht; in einem solchen Fall leitet das CSIRT, das die Meldung ursprünglich erhalten hatdas gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze 1 und 2 der Verordnung (EU) 2024/2847 als Koordinator benannte CSIRT, bei dem die Meldung ursprünglich eingegangen ist;, die Meldung im Einklang mit Artikel 16 Absatz 6 der Verordnung (EU) 2024/2847 an die zuständigen CSIRTs weiter, wenn ein Aufschub nicht mehr unbedingt erforderlich ist und die an der koordinierten Offenlegung von Schwachstellen beteiligten Parteien ihre Zustimmung zur Offenlegung erteilt haben.