Abgrenzung EUVD
In der Praxis kommt es gelegentlich zu einer Verwechslung zwischen der European Vulnerability Database (EUVD) und den gesetzlichen Meldepflichten nach Art. 14 CRA. Diese Verwechslung ist nicht nur begrifflicher Natur: Wer sich im Ernstfall auf eine Eintragung in der EUVD verlässt, ohne die eigentliche Meldung nach Art. 14 CRA fristgerecht vorzunehmen, läuft Gefahr, eine zentrale gesetzliche Frist zu versäumen. Eine klare interne Prozesstrennung zwischen Monitoring einerseits und aktiver Meldepflicht andererseits ist daher unerlässlich.
Rechtlich relevant: Die EUVD ist ausschließlich eine Monitoring-Quelle und keine Meldeplattform; die eigentliche Meldung erfolgt über die ENISA Single Reporting Platform. Gleichwohl sollte die EUVD als Trigger in den Prozess zur Coordinated Vulnerability Disclosure (CVD) eingebunden werden, insbesondere im Zusammenspiel mit der freiwilligen Zusammenarbeit mit Sicherheitsforschern. Wird im Rahmen dieses CVD-Prozesses ein Hinweis auf eine aktive Ausnutzung im Sinne von Art. 3 Nr. 42 CRA bekannt, muss dies automatisch die verpflichtende Meldung nach Art. 14 CRA auslösen.
Wir beraten Sie bei der prozessualen Abgrenzung und Verzahnung von CVD-Prozess, EUVD-Monitoring und der verpflichtenden Meldekette nach Art. 14 CRA.