NIS2 Art. 21 Abs. 2 Buchst. e verlangt den Umgang mit Schwachstellen in Ihren Systemen. Schwachstellen führt sie in einer Liste, mit einer Frist für jede Behebung.
Wer was tut
- Jede Person in der Organisation kann eine Schwachstelle melden.
- Inhaber und Admins bearbeiten sie: Sie legen Status, Frist und Verantwortliche fest.
So melden Sie eine Schwachstelle
- Öffnen Sie Schwachstellen im Menü der Organisation und klicken Sie auf Schwachstelle melden.
- Geben Sie einen Titel ein und wählen Sie den Schweregrad: Niedrig, Mittel, Hoch oder Kritisch.
- Wählen Sie das Betroffenes Asset aus Ihrem Asset-Inventar.
- Wählen Sie unter Gefunden durch: Schwachstellenscan, Penetrationstest, Herstellerhinweis, von jemandem gemeldet oder Sonstiges.
- Falls bekannt, ergänzen Sie die CVE (zum Beispiel CVE-2026-12345) und den CVSS-Wert.
- Tragen Sie Entdeckt am, die Verantwortliche Person und eine Beschreibung ein.
- Speichern Sie.
Fristen für die Behebung
Lassen Sie Beheben bis leer, richtet sich die Frist nach dem Schweregrad, gerechnet ab dem Entdeckungsdatum:
- Kritisch: 7 Tage
- Hoch: 30 Tage
- Mittel: 90 Tage
- Niedrig: 180 Tage
Überfällige Schwachstellen werden markiert. Die verantwortliche Person erhält eine Erinnerung, ohne Zuständigkeit die Inhaber und Admins.
Status
Eine Schwachstelle ist Offen, In Behebung, Behoben, Risiko akzeptiert oder Fehlalarm. Unter Behebung oder Grund der Akzeptanz halten Sie fest, was getan wurde.
Die Liste
Die Kopfzeile zählt offene, überfällige und kritische Schwachstellen. Standardmäßig sehen Sie nur offene; mit Behobene und geschlossene zeigen sehen Sie den Rest.
Tipps
- Halten Sie immer den Grund fest, wenn Sie ein Risiko akzeptieren, und wer entschieden hat. Auditoren werden danach fragen.
- Verknüpfen Sie jede Schwachstelle mit dem richtigen Asset, damit Sie sehen, welche Systeme am meisten Aufmerksamkeit brauchen.
- Schwachstellen ist ab dem Paket Professional enthalten.
Hersteller von Produkten mit digitalen Elementen erfassen diese unter Produkte (CRA).