Dieselbe Schwachstelle bedeutet nicht in jedem Produkt dasselbe Risiko.

Vier Eingaben

Jede Stufe entsteht aus denselben vier Eingaben. Die ersten beiden stammen aus dem Befund. Die letzten beiden stammen aus dem, was Sie uns über Ihr Produkt sagen.

1. 1

   Wie schwer die Schwachstelle ist

   Wir beginnen beim Schweregrad der Schwachstelle: dem höheren von der Einstufung des Scanners selbst und der veröffentlichten Bewertung der Schwachstelle. Wir beginnen nie unter dem, was der Scanner angibt.

2. 2

   Ob Angreifer sie nutzen

   Ob die Schwachstelle auf der CISA-Liste bekannter ausgenutzter Schwachstellen steht, wie wahrscheinlich eine Ausnutzung ist (der EPSS-Wert) und ob Ihr eigener Code den verwundbaren Teil erreicht.

3. 3

   Was Ihr Produkt ist

   Wer es nutzt, einschließlich der in der EU-Richtlinie NIS2 genannten Sektoren. Ob es zu einer Produktkategorie gehört, die der EU Cyber Resilience Act als wichtig oder kritisch einstuft. Ob es in einem Industrienetz läuft. Und das Schlimmste, was ein Angriff auslösen könnte.

4. 4

   Ob es aus dem Internet erreichbar ist

   Ja, teilweise oder nein. Eine Schwachstelle, die ein Angreifer aus dem Internet erreichen kann, ist dringender als eine hinter einer Firewall.

Die letzten beiden Eingaben stammen aus vier Fragen, die KROMSE zu jedem Produkt stellt: wer es nutzt, was es ist, ob es aus dem Internet erreichbar ist und was im schlimmsten Fall bei einem Angriff passieren könnte. Sie können Ihre Antworten jederzeit ändern.

Drei Produkte, eine Schwachstelle

Die Schwachstelle: ein Fehler mit hohem Schweregrad (CVSS 7.5) in einer TLS-Bibliothek. Die Ausnutzungswahrscheinlichkeit liegt bei 12 %, Ihr Code importiert die Bibliothek, und sie steht nicht auf der CISA-Liste. Das bedeutet sie für drei verschiedene Produkte.

Was Ihr Risiko Ihnen nicht sagt

• Es ist keine Wahrscheinlichkeit, angegriffen zu werden oder einen Sicherheitsvorfall zu erleiden.
• Es ist keine rechtliche Einstufung. KROMSE entscheidet nicht, ob der CRA oder NIS2 für Sie gilt oder in welche Klasse Ihr Produkt fällt. Ihre CRA-Klasse ist Ihre Angabe.
• Eine niedrige Stufe heißt nicht sicher. Sie kennzeichnet eine bekannte Schwachstelle, die warten kann, nicht die Abwesenheit von Schwachstellen.
• Es ersetzt nicht die Menschen, die entscheiden, was wann behoben wird.

NIS2 und der Cyber Resilience Act

NIS2 ist die EU-Richtlinie zur Sicherheit von Netz- und Informationssystemen. Der Cyber Resilience Act (CRA) ist die EU-Verordnung zur Cybersicherheit von Produkten mit digitalen Elementen. KROMSE nutzt deren Listen von Sektoren und Produktkategorien nur, um einzuschätzen, wie viel Schaden eine Schwachstelle anrichten könnte. Es sagt Ihnen nicht, ob eines der beiden Gesetze für Sie gilt.