Bereitschaft

Die Seite /dsb/hersteller/bereitschaft beantwortet eine einzige Frage: Wer tut was, wenn am Freitagabend ein Kunde meldet, dass jemand eine Lücke in Ihrem Produkt ausnutzt?

Das ist der unspektakulärste Teil des Bereichs und der, an dem die 24 Stunden tatsächlich scheitern. Die Frist läuft ab Kenntnisnahme — Wochenende und Feiertage zählen mit (Art. 14 Abs. 2 lit. a).

Die vier Rollen

Rolle	Wofür sie da ist
Meldende Person	Füllt die Stufen aus und gibt sie auf der Meldeplattform ab. Braucht dort einen eigenen Zugang.
Stellvertretung	Dasselbe, wenn die erste Person nicht erreichbar ist. Nicht optional — eine Person allein ist keine Bereitschaft.
Technik	Beurteilt, ob tatsächlich ausgenutzt wird, und liefert die technischen Angaben. Das ist die Person, an der die Erstbewertung hängt.
Geschäftsleitung	Wird informiert und entscheidet über die Sensibilitätseinschätzung und die Information der Nutzer.

Je Rolle hinterlegen Sie Name, E-Mail-Adresse und Telefonnummer. Eine Person darf mehrere Rollen tragen — meldende Person und Stellvertretung sollten allerdings nicht dieselbe sein, sonst ist es keine Vertretung.

Außerhalb der Geschäftszeiten

Der Schalter „außerhalb der Geschäftszeiten erreichbar” entscheidet, ob Hugo bei einem neuen Fall und bei ablaufenden Fristen auch abends, nachts und am Wochenende benachrichtigt — oder erst am nächsten Werktag.

Steht er aus, erscheint auf der Startseite des Bereichs ein Hinweis. Das ist kein Vorwurf, sondern eine Feststellung: Die Frist läuft trotzdem.

Was in der Praxis genügt, ist wenig — eine Mobilnummer mit Rufweiterleitung, auf der jemand abnimmt, und ein Postfach, das jemand liest. Was nicht genügt, ist ein Verteiler, den montags jemand öffnet.

Zwei Angaben gehören dazu:

Geschäftszeiten und Zeitzone, damit „außerhalb” definiert ist.
Wege je Rolle — welche Adresse tagsüber, welche Nummer nachts.

Testmail

Der Knopf Testmail senden schickt an alle hinterlegten Adressen eine Nachricht, wie sie im Ernstfall aussähe: Betreff, Absender, Fristenhinweis. Sie taugt für drei Prüfungen:

Kommt sie an? Verteiler, die auf ein verwaistes Postfach zeigen, fallen hier auf.
Landet sie im Spam? Der Absender ist derselbe wie im Ernstfall — tragen Sie ihn in die Positivliste ein, wenn nötig.
Weiß die Person, was zu tun ist? Der Text nennt die Frist und den Weg. Wer beim Test zurückfragt, was er damit soll, hätte im Ernstfall auch zurückgefragt.

Die Testmail wird protokolliert. Im Prozessnachweis taucht sie als Beleg auf, dass die Bereitschaft geprüft wurde und wann. Wiederholen Sie sie nach jedem Personalwechsel, mindestens aber einmal im Jahr.

Was hier nicht hingehört

Die Kontakte auf dieser Seite sind intern. Sie sind nicht die Kontaktadresse, über die Dritte Schwachstellen an Sie melden — die ist öffentlich und steht auf Ihrer CVD-Seite.

Für diese öffentliche Anlaufstelle gilt eine eigene Anforderung:

Die zentrale Anlaufstelle ermöglicht es den Nutzern, ihr bevorzugtes Kommunikationsmittel zu wählen, wobei diese Mittel nicht auf automatisierte Instrumente beschränkt werden dürfen. (Art. 13 Abs. 17)

Ein Formular allein oder eine Adresse mit Autoresponder genügt also nicht. Wie Sie das umsetzen, steht unter Richtlinien, CVD und security.txt.