Schwachstellen-Meldepflicht für Smart-Home & Gebäudetechnik

Schwachstellen-Meldepflicht ab September 2026

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an ENISA melden. Dazu kommen eine öffentliche Vulnerability Disclosure Policy und ein koordinierter Patch-Prozess.

Konkrete Anforderungen nach CRA:

• 24h-Frühwarnung an ENISA bei aktiv ausgenutzter Schwachstelle
• 72h-Meldung mit vollständigen Details
• Vulnerability Disclosure Policy (VDP) öffentlich zugänglich
• Koordinierter Patch-Prozess mit Meldung der Behebung
• Schwachstellen-Datenbank (intern) als Basis für Meldungen

Warum ist Schwachstellen-Meldepflicht für Smart-Home & Gebäudetechnik besonders relevant?

Smart-Home-Hubs sind attraktive Angriffsziele: Sie verbinden oft Dutzende anderer Geräte und können bei Kompromittierung das gesamte Heimnetz öffnen. Der CRA verlangt neben der 24h-Meldung bei ENISA auch eine VDP — damit Sicherheitsforscher Lücken verantwortungsvoll melden können, bevor sie öffentlich werden.

Besonderheiten im Smart-Home & Gebäudetechnik

• Smart-Home-Hubs: Important Class I nach Anhang III/I
• Matter- und Zigbee-Protokolle sind in SBOM zu erfassen
• Einsatz in Privathaushalten: Consumer-Kontext erhöht Angriffsmotivation

Erste Schritte zur Umsetzung

1. 1

   VDP-Dokument erstellen und unter security.txt oder dedizierter URL veröffentlichen

2. 2

   Internen Schwachstellen-Triage-Prozess etablieren (Eingang → Bewertung → Eskalation)

3. 3

   ENISA-Meldekanal einrichten (EUVDB-Plattform, ab 2026 verfügbar)

4. 4

   SLA für 24h-Meldung intern verabschieden

5. 5

   Update-Bereitstellung koordinieren (OTA, Patch-Notes, Kundenkommunikation)