Eine Sicherheitsmitteilung ist eine Entscheidung, kein Scan-Ergebnis
Teilen Sie Kunden mit, dass ein Produkt, das sie besitzen, betroffen ist und was zu tun ist. Sicherheitsmitteilungen sitzen stromabwärts der Triage, eingegrenzt auf die tatsächlich beteiligten Releases, und sind eine andere Pflicht als die Meldung an Behörden.
Zwei Notify-Pfade, zwei unterschiedliche Pflichten
Das ist die Unterscheidung, die die meisten CRA-Botschaften falsch machen. September 2026 ist eine Meldung an CSIRT und ENISA. Ihre Kunden zu informieren ist ein getrennter Pfad mit anderem Auslöser und anderer Uhr.
Benachrichtigen
Behörden
- Auslöser
- Ein Fund wird in einem Release, das Sie bereits in Verkehr gebracht haben, aktiv ausgenutzt.
- Uhr
- Die Uhr nach Artikel 14: 24 Stunden, 72 Stunden, dann 14 Tage, ab dem 11. September 2026.
- Geht an
- ENISA SRP oder Ihr nationales CSIRT. Sie reichen ein; alloy-it bereitet das Paket vor und übermittelt nicht.
Benachrichtigen
Kunden
- Auslöser
- Die Triage bestätigt, dass das Produkt ausnutzbar ist und ein Fix, eine Mitigation oder ein dokumentierter Grund zur Information ohne beides vorliegt.
- Uhr
- Ihr Zeitplan. Das gehört zur Schwachstellenbehandlung und zur koordinierten Offenlegung, hin zur vollständigen Anwendung im Dezember 2027.
- Geht an
- Sicherheitsmitteilungen eingegrenzt auf betroffene Produkte und Releases, per E-Mail zugestellt und optional in einem öffentlichen Portal veröffentlicht.
Sie können keines auf einen untriagierten Fund senden
Ein Scanner-Ergebnis ist kein Grund, Ihren Kunden zu schreiben. Die Zustellung einer Sicherheitsmitteilung wird verweigert, solange ein verknüpfter Fund nicht als ausnutzbar triageiert wurde und Sie weder eine empfohlene Version gesetzt noch ausdrücklich festgehalten haben, dass Sie ohne Fix informieren.
Die Wirkung: Eine Sicherheitsmitteilung trägt immer eine Entscheidung. Das macht sie zu einer kontrollierten Benachrichtigung statt einer CVE-Feuerhose und die Entscheidung später verteidigbar.
Wie Triage diese Entscheidung erzeugt →Ein strukturiertes Dokument, kein Textblob
Die Vorbelegung füllt den Entwurf mit dem, was alloy-it bereits weiß: das Release, seine Funde, betroffene Komponenten und Versionen sowie die behobenen Versionen, wo vorhanden. Jeder Abschnitt entspricht der Form, die ein CSAF-Consumer erwartet.
Zusammenfassung
Was geschehen ist, in zwei Sätzen.
Betroffene Produkte
Welche Produkte und Releases im Scope sind.
Verwundbare Produkte
Die Teilmenge, die tatsächlich verwundbar ist.
Nicht verwundbar
Explizit außerhalb des Scopes und für Kunden ebenso wertvoll wie die Betroffenliste.
Details
Die technische Beschreibung.
Workarounds
Was zu tun ist, bevor der Fix eintrifft.
Behoben in
Wo die gepatchte Version liegt.
Ausnutzung
Bekannter Ausnutzungsstatus.
Quelle
Credits und Referenzen.
Daneben trägt eine CVE-Tabelle Zeilen pro CVE mit Score, Schweregrad, betroffener Komponente und Version sowie behobener Version. Empfohlene Version, Apply-by-Datum und Guidance bleiben vom Dokument getrennt, weil es operative Felder und kein veröffentlichter Fließtext sind.
Ein öffentliches Portal, standardmäßig aus
Veröffentlichte Sicherheitsmitteilungen können ohne Anmeldung unter der URL Ihrer Organisation gelesen werden, mit Ihrem Logo. Es bleibt deaktiviert, bis Sie es einschalten; solange es deaktiviert ist, liefert jede öffentliche Route ein schlichtes 404 statt eines Fehlers, der die Existenz der Organisation bestätigen würde.
Veröffentlichen und Senden sind unabhängig. Eine Sicherheitsmitteilung kann veröffentlicht werden, ohne jemals per E-Mail gesendet zu werden, oder gesendet ohne veröffentlicht zu sein.
CSAF- und PDF-Export
Jede veröffentlichte Sicherheitsmitteilung ist als CSAF JSON und als gerendertes PDF verfügbar. Die maschinenlesbare Form zählt doppelt: Downstream-Consumer können sie automatisch einlesen, und CRA Anhang I Teil II erwartet maschinenlesbare Schwachstelleninformationen statt eines PDFs, das ein Mensch lesen muss.
Wesentliche Änderungen erhöhen die Dokumentversion und werden in einer Revisionshistorie auf der öffentlichen Seite geführt.
Wo das in der Schleife sitzt
Die Überwachung findet die Komponente. Die Triage entscheidet, ob das Produkt wirklich betroffen ist. Wird es in etwas, das Sie ausgeliefert haben, aktiv ausgenutzt, öffnet sich der Behördenpfad auf der Uhr nach Artikel 14. Das Kundenavis kommt danach, sobald es etwas Nützliches zu sagen gibt.
Offenlegung betreiben, ohne den Scope zu raten
Starten Sie mit einem Produktinventar, damit eine Sicherheitsmitteilung die Releases benennen kann, die tatsächlich betroffen sind, und die, die es nicht sind.