BOD 20-01 – Richtlinie zur Offenlegung von Schwachstellen

Zusammenfassung

Verbindliche operative Richtlinie, die die CISA am 2. September 2020 zur Unterstützung des OMB-Memorandums M-20-32 über die bessere Erkennung, Verwaltung und Behebung von Schwachstellen erlassen hat. Sie verpflichtet die Behörden der Bundesexekutive, innerhalb von 180 Tagen eine Richtlinie zur Offenlegung von Schwachstellen (VDP) unter dem Pfad /vulnerability-disclosure-policy ihrer wichtigsten .gov-Website zu veröffentlichen und Verfahren zur Bearbeitung von Meldungen einzurichten. Die Richtlinie muss die erfassten Systeme, erlaubte und verbotene Testarten, den Meldeweg, auch anonym, und die Zusage enthalten, gegen Forschung in gutem Glauben nicht rechtlich vorzugehen; sie darf keine personenbezogenen Daten verlangen und Tests nicht auf US-Bürger oder ausgewählte Personen beschränken. Ihr Anwendungsbereich ist schrittweise zu erweitern, bis sie innerhalb von zwei Jahren alle aus dem Internet erreichbaren Systeme umfasst. Die Behörden melden der CISA Schwachstellen in kommerziellen Produkten und übermitteln regelmäßig Kennzahlen über CyberScope.

Informationen

Rechtsraum

Vereinigte Staaten

Herausgebende Stelle

Cybersecurity and Infrastructure Security Agency (CISA)

Art

Richtlinie

Verfügbare Sprachen

Englisch

Themen

• Digitale öffentliche Verwaltung
• Software- und Anwendungssicherheit

Anmerkungen

Eingegangene Meldungen dürfen nicht dem Vulnerabilities Equities Process zugeführt werden. Zu den geforderten Kennzahlen gehören die Zahl der Meldungen und der gültigen Schwachstellen, die seit mehr als 90 Tagen offenen Schwachstellen sowie die mittleren Zeiten bis zur Validierung, Behebung und ersten Antwort. Die Richtlinie legt keine Behebungsfristen fest: Die Hinweise der CISA empfehlen, Meldungen innerhalb von 3 Arbeitstagen zu bestätigen, innerhalb von 7 Tagen zu bewerten und innerhalb von 90 Tagen zu lösen. Die Richtlinie verweist auch auf ISO/IEC 29147 und 30111. Die Seite gibt nicht an, ob die CISA die innerhalb von zwei Jahren vorgesehene Aktualisierung veröffentlicht hat.

Cybersecurity and Infrastructure Security Agency (CISA). (2020). BOD 20-01: Develop and Publish a Vulnerability Disclosure Policy (BOD 20-01). https://www.cisa.gov/news-events/directives/bod-20-01-develop-and-publish-vulnerability-disclosure-policy

Cybersecurity and Infrastructure Security Agency (CISA). "BOD 20-01: Develop and Publish a Vulnerability Disclosure Policy." 2 September 2020. https://www.cisa.gov/news-events/directives/bod-20-01-develop-and-publish-vulnerability-disclosure-policy.

@misc{us_bod_20_01_vulnerability_disclosure_policy_2020,
  author       = {{Cybersecurity and Infrastructure Security Agency (CISA)}},
  title        = {{BOD 20-01: Develop and Publish a Vulnerability Disclosure Policy}},
  year         = {2020},
  note         = {BOD 20-01},
  url          = {https://www.cisa.gov/news-events/directives/bod-20-01-develop-and-publish-vulnerability-disclosure-policy},
  urldate      = {2026-11-02}
}