Stellungnahme zur Nationalen CVD-Policy (Leitfaden, Fassung 2026)

Gegenstand	„Nationale CVD-Policy – Leitfaden“, Bundesministerium für Inneres, Wien 2026 (Datei vom 18. Juni 2026)
Inhaltlich verantwortlich laut Leitfaden	BMI, BKA, BMJ (Straf- und Zivilrecht), Datenschutzbehörde, CERT.at
Verfasser	Christoph Gruber, CTO und CISO
Version	1.0
Stand	22. Oktober 2026
Klassifizierung	ÖFFENTLICH

Zusammenfassung

Die Fassung 2026 der Nationalen CVD-Policy ist ein solider Prozessleitfaden. Sie beschreibt den Ablauf einer koordinierten Offenlegung von der Verifikation bis zur Veröffentlichung in der European Vulnerability Database nachvollziehbar, nennt CERT.at als Koordinator nach § 11 NISG 2026 und verweist auf internationale Standards wie security.txt, CVE und CSAF. Neu und wertvoll ist das Kapitel zu Art. 10 EMRK.

Den eigentlichen Auftrag des Nationalrats erfüllt der Leitfaden jedoch nur zur Hälfte. Die Entschließung vom 21. Jänner 2026 verlangte neben einem Leitfaden ausdrücklich die Evaluierung und gegebenenfalls Anpassung der straf- und datenschutzrechtlichen Bestimmungen, damit ethisch handelnde Sicherheitsforschende Rechtssicherheit haben. Eine solche Anpassung ist nicht erfolgt. Der Leitfaden stellt selbst klar, dass sich aus ihm keine Befreiung von rechtlichen Folgen ergibt.

Daneben weist der Leitfaden inhaltliche und redaktionelle Mängel auf. Die wichtigsten sind die fehlende Absicherung der Anonymität gegenüber Strafverfolgungsbehörden, eine Asymmetrie der Fristen zulasten der Meldenden, eine ungeregelte Ausnahme für die „nationale Sicherheit“, ein dogmatisch fehlerhaftes Datenschutzkapitel und eine veraltete Darstellung des Cyber Resilience Act.

Am schwersten wiegt ein Punkt, den der Leitfaden gar nicht anspricht. Seit Inkrafttreten der NISV 2026 Anfang Oktober 2026 gilt der Anhang der Durchführungsverordnung (EU) 2024/2690 für alle wesentlichen und wichtigen Einrichtungen in Österreich. Nummer 6.10.2 lit. e dieses Anhangs verlangt ein Verfahren für die Offenlegung von Schwachstellen „im Einklang mit den geltenden nationalen Konzepten“. Damit ist ein CVD-Verfahren für rund 5.000 Einrichtungen bereits Pflicht, und der Leitfaden ist faktisch der Prüfmaßstab dafür. Er enthält aber weder einen Hinweis auf diese Pflicht noch Mindestinhalte, an denen sich Einrichtungen und Prüfstellen orientieren könnten.

Der Vergleich mit Estland, Belgien und den Niederlanden zeigt zwei Wege, die Österreich kombinieren sollte: den belgischen Weg einer gesetzlich geregelten Straffreiheit unter strengen Bedingungen und den estnischen Weg eines Staates, der selbst ein Bug-Bounty-Programm betreibt und seine eigenen Systeme laufend von außen testen lässt.

Unsere Kernforderungen sind:

1. eine gesetzliche Safe-Harbour-Regelung nach belgischem Vorbild,
2. ein gesetzlicher Vertraulichkeitsschutz für die CVD-Kommunikation des Koordinators,
3. ein transparenter, gesetzlich geregelter Abwägungsprozess für das Zurückhalten von Schwachstellen durch staatliche Stellen,
4. verbindliche Mindestinhalte für das CVD-Verfahren nach NISV 2026,
5. eine Überarbeitung des Datenschutz- und CRA-Kapitels.

Ausgangslage

Österreich hat 2024 erstmals eine Nationale CVD-Policy veröffentlicht. Im Dezember 2025 wurde im Nationalrat ein Entschließungsantrag mit dem Titel „Ethical Hacking straffrei stellen“ eingebracht. Am 21. Jänner 2026 fasste der Nationalrat mit breiter Mehrheit die Entschließung 67/E XXVIII. GP. Darin wird die Bundesregierung, insbesondere die Justizministerin und der Innenminister, zu zwei Maßnahmen aufgefordert:

1. einen praxisorientierten CVD-Leitfaden mit klaren Kriterien zu erarbeiten,
2. die straf- und datenschutzrechtlichen Bestimmungen zu evaluieren und gegebenenfalls anzupassen, sodass für ethisch handelnde Sicherheitsforschende Rechtssicherheit besteht.

Die vorliegende Fassung 2026 ist die Antwort auf den ersten Punkt. Sie erschien im Juni 2026, also vor dem materiellen Anwendungsbeginn des NISG 2026 am 1. Oktober 2026.

Der Rechtsrahmen hat sich seither weiter verdichtet:

• NISG 2026 (BGBl. I Nr. 94/2025): § 11 benennt das nationale CSIRT als CVD-Koordinator und sieht die Möglichkeit anonymer Meldungen vor. § 32 Abs. 4 lit. e verpflichtet wesentliche und wichtige Einrichtungen zu Sicherheitsmaßnahmen „einschließlich Management und Offenlegung von Schwachstellen“. § 32 Abs. 5 ermächtigt die Cybersicherheitsbehörde, nähere Anforderungen per Verordnung festzulegen und Durchführungsrechtsakte der Kommission auf weitere Sektoren zu erstrecken.
• NISV 2026 (BGBl. II Nr. 290/2026): Die Verordnung wurde am 1. Oktober 2026 kundgemacht und trat mit Ablauf dieses Tages in Kraft. Ihr § 2 erklärt den Anhang der Durchführungsverordnung (EU) 2024/2690 auf alle in den Anlagen 1 und 2 NISG 2026 gelisteten Einrichtungen für anwendbar.
• Cyber Resilience Act (Verordnung (EU) 2024/2847): Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche Meldeplattform der ENISA melden. Ab 11. Dezember 2027 gelten die übrigen Pflichten, darunter das verpflichtende CVD-Konzept nach Anhang I Teil II.
• Messenger-Überwachung: Nationalrat und Bundesrat haben 2025 die Überwachung verschlüsselter Messenger-Dienste beschlossen. Dafür muss der Staat Software beschaffen, die Sicherheitslücken in Endgeräten ausnutzt.

Positive Aspekte

Der Leitfaden beschreibt den CVD-Prozess in acht nachvollziehbaren Schritten (Schritt 0 bis 7), von der Verifikation über die Meldung, Bewertung und Behebung bis zur Veröffentlichung in der EUVD. Die Rollen von Schwachstellensuchenden, Anbietern und Koordinator sind klar beschrieben, die farbliche Trennung der Hinweise für beide Seiten erleichtert die Lektüre.

Fachlich zutreffend sind die Unterscheidung zwischen Onlinediensten und generischer Software, die Empfehlung von security.txt nach RFC 9116, CVSS, CVE und CSAF sowie die Möglichkeit, den Koordinator anonym einzuschalten. Die Grundprinzipien (verantwortliches Handeln, Subsidiarität, Verhältnismäßigkeit, Datensparsamkeit, abgestimmte Fristen und respektvolle Kommunikation) entsprechen internationaler Praxis. Die ausdrückliche Grenze, dass Brute-Force, Denial of Service, Social Engineering, Veränderungen an Systemen und Schadsoftware nur mit schriftlicher „Permission to Attack“ zulässig sind, schafft Klarheit.

Die strafrechtliche Analyse des § 118a StGB entlang der vier Tatbestandselemente ist für Laien verständlich. Sie steht im Einklang mit dem Erlass des Bundesministeriums für Justiz vom 23. August 2023 zum ethischen Hacking. Das neue Kapitel zu Art. 10 EMRK liefert ein Prüfraster, das in Straf- und Zivilverfahren für eine grundrechtskonforme Auslegung herangezogen werden kann: Falsifizierbarkeit, öffentliches Interesse und Sorgfalt bei der Informationsgewinnung.

Ehrlich und praxisnah ist schließlich der Hinweis, dass finanzielle Anreize in Verbindung mit automatisierten Scannern und KI-Werkzeugen zu einer Flut minderwertiger Meldungen führen können. Ebenso klar ist die Feststellung, dass Forderungen unter Androhung einer Veröffentlichung als Erpressungsversuch gewertet werden können.

Kritikpunkte im Einzelnen

Keine Rechtssicherheit für Sicherheitsforschende

Die Entschließung des Nationalrats verlangte Rechtssicherheit. Der Leitfaden kann diese als unverbindliche Handreichung nicht herstellen und behauptet das auch nicht. Er verweist auf die Prüfung des Einzelfalls und empfiehlt bei Unklarheit rechtliche Beratung. Damit bleibt die Situation für Sicherheitsforschende im Kern unverändert.

Der Schutz hängt am erweiterten Vorsatz des § 118a Abs. 1 StGB, also an der Spionage- oder Verwendungsabsicht. Ob diese fehlt, wird aber erst im Ermittlungsverfahren geklärt. Für Betroffene ist schon dieses Verfahren mit Hausdurchsuchung, Sicherstellung von Geräten und Beschuldigtenstatus die eigentliche Sanktion. Der Fall epicenter.works zeigt das: Trotz eingehaltener Responsible Disclosure wurde gegen die Finder nach § 118a StGB ermittelt. Weder ein Leitfaden noch ein Erlass binden Gerichte, und ein Erlass ändert nichts daran, dass eine Anzeige zunächst Ermittlungen auslöst.

Der Leitfaden behandelt zudem ausschließlich § 118a StGB. Andere Tatbestände, die bei der Schwachstellensuche berührt sein können, bleiben unerwähnt: § 119 und § 119a StGB (Telekommunikationsgeheimnis, missbräuchliches Abfangen von Daten), § 126a und § 126b StGB (Datenbeschädigung, Störung der Funktionsfähigkeit eines Computersystems), § 126c StGB (Missbrauch von Computerprogrammen oder Zugangsdaten) sowie § 63 DSG (Datenverarbeitung in Gewinn- oder Schädigungsabsicht).

Ein wirksames Instrument, das bereits nach geltendem Recht zur Verfügung steht, erwähnt der Leitfaden nicht. § 118a StGB ist nach Abs. 3 ein Ermächtigungsdelikt: Der Täter ist nur mit Ermächtigung des Verletzten zu verfolgen. Anbieter können daher in ihrer eigenen CVD-Policy verbindlich zusagen, bei richtlinienkonformem Verhalten keine Ermächtigung zu erteilen. Zusammen mit einer ausdrücklichen Zustimmung zur Untersuchung, die die Verfügungsbefugnis begründet und damit den Tatbestand ausschließt, ist das derzeit der stärkste Schutz, den Sicherheitsforschende in Österreich erhalten können. Der Leitfaden sollte Anbietern diese Kombination ausdrücklich empfehlen und eine Musterformulierung bereitstellen.

Für eine echte Lösung braucht es eine gesetzliche Regelung. Belgien hat mit Art. 22 und 23 seines NIS2-Gesetzes gezeigt, wie eine solche Regelung aussehen kann (siehe Abschnitt 5.2).

Anonymität und Vertraulichkeit sind nicht abgesichert

Der Leitfaden stellt in Schritt 1 zutreffend klar, dass der Koordinator nach geltender Rechtslage gerichtlich verpflichtet werden kann, die Kommunikation rund um eine Schwachstellenmeldung offenzulegen. Im Kapitel zum HSchG weist er darauf hin, dass ab einem strafrechtlichen Anfangsverdacht die StPO gilt und in alle Richtungen ermittelt wird, unter Umständen auch gegen die meldende Person.

Diese Ehrlichkeit ist zu begrüßen. Sie zeigt aber ein strukturelles Problem: Art. 12 Abs. 1 NIS-2-Richtlinie und § 11 Abs. 2 NISG 2026 sehen vor, dass Schwachstellen auf Wunsch anonym gemeldet werden können. Eine Anonymität, die durch eine gerichtliche Anordnung aufgehoben werden kann, ist für Meldende nur eingeschränkt verlässlich. Wer seine Identität dem Koordinator offenlegt, um Rückfragen zu ermöglichen, trägt das Risiko, dass genau diese Kommunikation später gegen ihn verwendet wird.

Wir empfehlen eine gesetzliche Regelung, die CVD-Kommunikation beim Koordinator einem Beschlagnahme- und Verwertungsverbot unterstellt, vergleichbar dem Schutz journalistischer Quellen. Ausnahmen sollten auf schwere Straftaten mit konkretem Schädigungsvorsatz beschränkt sein. Der Leitfaden selbst betont im EMRK-Kapitel, dass der Quellenschutz eine besondere Rolle spielt und den Staat teilweise eine Schutzpflicht trifft. Diese Überlegung sollte konsequent auf den Koordinator übertragen werden.

Asymmetrische Fristen

Der Leitfaden sieht eine Rückmeldung an Meldende binnen 14 Tagen und eine Behebungsfrist von 60 Tagen vor. Danach „kann“ der Koordinator die Schwachstelle offenlegen, wenn dies dem öffentlichen Interesse dient. Fristüberschreitungen sollen abgesprochen werden und können zu Verlängerungen führen.

Diese Regelung ist in zweifacher Hinsicht unausgewogen:

• Kein Offenlegungsrecht für Meldende. Anbieter erhalten eine Frist mit Verlängerungsmöglichkeit, Meldende hingegen nie ein eigenes Offenlegungsrecht. Stattdessen warnt der Leitfaden mehrfach vor unkoordinierten Veröffentlichungen und vor Haftungsrisiken. Reagiert ein Anbieter nicht, bleibt den Meldenden nur der Koordinator, dessen Entscheidung im Ermessen liegt.
• Keine Differenzierung nach Art des Systems. Für Webanwendungen sind 60 Tage angemessen, für Firmware, Hardware, Medizinprodukte und Systeme der Betriebstechnik (OT) oft unrealistisch. International hat sich eine Standardfrist von 90 Tagen etabliert, mit längeren Fristen und Zwischenmaßnahmen für Hardware und OT.

Wir empfehlen eine Standardfrist von 90 Tagen ab Eingang beim Anbieter, eine begründete Verlängerung auf bis zu 180 Tage für Hardware und OT mit Pflicht zur Veröffentlichung von Zwischenmaßnahmen sowie ein ausdrückliches Recht der Meldenden, nach Fristablauf und Vorankündigung koordiniert zu veröffentlichen. Bei aktiv ausgenutzten Schwachstellen sollten deutlich kürzere Fristen gelten.

Ungeregelte Ausnahme „nationale Sicherheit“

In Schritt 6 empfiehlt der Leitfaden, von einer Offenlegung abzusehen, wenn ein öffentliches Interesse überwiegt, etwa die nationale Sicherheit. Kriterien, Zuständigkeiten, Fristen und Kontrolle für eine solche Entscheidung fehlen.

Das ist problematisch, weil der Staat mit der beschlossenen Messenger-Überwachung ein eigenes Interesse an offenen Schwachstellen hat. Das Bundesministerium für Inneres ist zugleich Herausgeber dieses Leitfadens, oberste Behörde der Cybersicherheitsbehörde und Bedarfsträger für Überwachungssoftware. Ohne transparente Regeln entsteht zumindest der Anschein eines Interessenkonflikts. Das untergräbt das Vertrauen, auf das ein CVD-System angewiesen ist.

Wir empfehlen einen gesetzlich geregelten Abwägungsprozess für das Zurückhalten von Schwachstellen (Vulnerabilities Equities Process) mit:

• einer Vermutung zugunsten der Offenlegung,
• einer zeitlichen Befristung jeder Zurückhaltung mit Pflicht zur Neubewertung,
• einer unabhängigen Kontrolle,
• einer jährlichen Berichterstattung an den Nationalrat.

Ebenso klar sollte geregelt sein, dass Informationen, die CERT.at in seiner Rolle als CVD-Koordinator erhält, nicht für offensive Zwecke an Sicherheits- oder Nachrichtendienste weitergegeben werden.

Fehler im Datenschutzkapitel

Das Datenschutzkapitel enthält mehrere Aussagen, die rechtlich nicht tragen oder in die Irre führen.

Rolle der Suchenden. Der Leitfaden hält Konstellationen für denkbar, in denen Schwachstellensuchende als Auftragsverarbeiter auftreten. Auftragsverarbeitung setzt nach Art. 28 Abs. 3 DSGVO einen Vertrag oder ein anderes bindendes Rechtsinstrument mit Weisungen der Verantwortlichen voraus. Auf beauftragte Penetrationstests kann das zutreffen, auf unbeauftragte Sicherheitsforschende, die der Leitfaden primär anspricht, in aller Regel nicht. Wer ohne Auftrag zufällig personenbezogene Daten zur Kenntnis nimmt, entscheidet selbst über diesen Vorgang. Die Frage nach der Rechtsgrundlage stellt sich dann für ihn selbst.

Einwilligung als Rechtsgrundlage. Die Bezeichnung der Einwilligung als „für Schwachstellensuchende zentral“ geht an der Praxis vorbei. Betroffene Personen, deren Daten bei einer Schwachstellensuche sichtbar werden, können vorab nicht einwilligen. Tragfähig ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Erwägungsgrund 49 DSGVO nennt die Gewährleistung der Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse, und die Grundsätze der Datenminimierung und Speicherbegrenzung sind dabei strikt einzuhalten. Für Anbieter, die Meldungen verarbeiten, kommen zusätzlich Art. 6 Abs. 1 lit. c DSGVO (Pflichten nach NISG 2026 und CRA) in Betracht.

Verweis auf §§ 36 ff DSG. Der Leitfaden verweist für die Rechtmäßigkeit der Verarbeitung auf „Art 6 DSGVO beziehungsweise §§ 36 ff DSG“. Das 3. Hauptstück des DSG ab § 36 regelt jedoch die Verarbeitung durch zuständige Behörden zu Zwecken der Sicherheitspolizei und Strafverfolgung. Für private Sicherheitsforschende und Anbieter ist es nicht einschlägig.

Juristische Personen. Der Satz, für einen Schutz nach der DSGVO komme es „insbesondere auf die Bezeichnung der juristischen Person an“, ist missverständlich. Die DSGVO schützt nach Erwägungsgrund 14 ausschließlich natürliche Personen. Daten einer juristischen Person fallen nur dann darunter, wenn sie sich zugleich auf eine natürliche Person beziehen, etwa bei einer Firma, die den Namen des Inhabers trägt. Den Schutz juristischer Personen gewährt in Österreich § 1 DSG.

Fehlende Hinweise für Anbieter. Erlangt eine unbeauftragte Person Zugriff auf personenbezogene Daten, liegt in der Regel eine Verletzung des Schutzes personenbezogener Daten vor. Anbieter müssen dann prüfen, ob eine Meldung an die Datenschutzbehörde nach Art. 33 DSGVO binnen 72 Stunden und gegebenenfalls eine Benachrichtigung der Betroffenen nach Art. 34 DSGVO erforderlich ist. Ebenso ist zu prüfen, ob ein erheblicher Cybersicherheitsvorfall nach § 34 NISG 2026 vorliegt. Der Leitfaden schweigt zu beiden Fragen, obwohl sie für Anbieter die unmittelbarsten Rechtsfolgen einer CVD-Meldung sind.

Veraltete Darstellung des Cyber Resilience Act

Der Leitfaden beschreibt den CRA im Futur: Anforderungen „sollen“ festgelegt werden. Tatsächlich ist der CRA seit 10. Dezember 2024 in Kraft, und seit 11. September 2026 gelten die Meldepflichten nach Art. 14. Hersteller müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden als Frühwarnung, binnen 72 Stunden als Meldung und spätestens 14 Tage nach Verfügbarkeit einer Korrektur als Abschlussbericht melden, gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA über deren einheitliche Meldeplattform.

Für die CVD-Praxis ist das entscheidend. Meldet ein Sicherheitsforschender eine Schwachstelle, die bereits aktiv ausgenutzt wird, löst das beim Hersteller eine gesetzliche Meldepflicht mit Stundenfristen aus. Der Leitfaden sollte das Zusammenspiel zwischen freiwilliger CVD-Meldung und gesetzlicher CRA-Meldung erklären und die Rolle von CERT.at in beiden Verfahren abgrenzen.

Ab 11. Dezember 2027 müssen Hersteller außerdem ein CVD-Konzept umsetzen, eine Kontaktstelle für Schwachstellenmeldungen bereitstellen und behobene Schwachstellen veröffentlichen. Auch die Pflicht von Händlern, Hersteller über erkannte Schwachstellen unverzüglich zu informieren (Art. 20 CRA), fehlt im Leitfaden.

Im Abkürzungsverzeichnis wird der „Cyber Security Act 2“ als Verordnung angeführt. Es handelt sich um einen Vorschlag der Kommission. Der Text sollte ihn auch so bezeichnen.

Fehlender Bezug zur NISV 2026

Der Leitfaden erwähnt nicht, dass er seit Oktober 2026 rechtlich relevant geworden ist. Nummer 6.10.2 lit. e im Anhang der Durchführungsverordnung (EU) 2024/2690 verlangt von den betreffenden Einrichtungen ein Verfahren für die Offenlegung von Schwachstellen im Einklang mit den geltenden nationalen Konzepten für die koordinierte Offenlegung. Durch § 2 NISV 2026 gilt das nun für alle wesentlichen und wichtigen Einrichtungen in Österreich. Das „geltende nationale Konzept“ ist dieser Leitfaden.

Damit wird ein unverbindlich formulierter Leitfaden zum faktischen Maßstab für eine verwaltungsstrafrechtlich sanktionierte Pflicht. Einrichtungen, Prüfstellen nach § 33 NISG 2026 und das Bundesamt für Cybersicherheit brauchen deshalb klare Mindestinhalte. Abschnitt 6 behandelt diese Frage ausführlich.

Weitere inhaltliche Lücken

• Fehlende Normbezüge. Der Leitfaden verweist nicht auf ISO/IEC 29147 (Offenlegung von Schwachstellen) und ISO/IEC 30111 (Behandlung von Schwachstellen). Gerade für Einrichtungen, die ihr Verfahren auditieren lassen müssen, wären diese Normen der naheliegende Bezugsrahmen.
• Keine Hinweise zu OT und Medizinprodukten. Aktive Tests an Systemen der Betriebstechnik, an Medizinprodukten oder an Fahrzeugen können physische Schäden verursachen. Der Leitfaden sollte aktive Tests an solchen Produktivsystemen ohne Vereinbarung ausdrücklich ausschließen und auf Laboruntersuchungen verweisen.
• Priorisierung nur über CVSS. Für die Priorisierung empfiehlt der Leitfaden allein CVSS. Er sollte ergänzend auf Kataloge aktiv ausgenutzter Schwachstellen, Wahrscheinlichkeitsmodelle wie EPSS und entscheidungsorientierte Verfahren wie SSVC verweisen.
• Keine Mustertexte. Anbieter erhalten weder eine Muster-CVD-Policy noch eine Muster-security.txt noch eine Musterformulierung für Zustimmung und Safe Harbour. Andere Staaten stellen solche Vorlagen bereit.
• Keine Vorbildwirkung des Staates. Der Leitfaden enthält keine Selbstverpflichtung des Bundes, für seine eigenen Systeme eine CVD-Policy und security.txt zu veröffentlichen oder ein Bug-Bounty-Programm einzurichten (siehe Estland, Abschnitt 5.1).

Kapitel zum Hinweisgeberschutz

Das Kapitel zum HinweisgeberInnenschutzgesetz ist für die Zielgruppe weitgehend nicht einschlägig. Das HSchG schützt Personen, die im Rahmen einer beruflichen Verbindung von Rechtsverletzungen erfahren. Externe Sicherheitsforschende ohne berufliche Verbindung zum Anbieter fallen nicht darunter. Das gewählte Beispiel betrifft einen Insider in einem Energieunternehmen und keine CVD-Konstellation. Das Kapitel sollte auf eine kurze Abgrenzung reduziert werden: Wann ist das HSchG einschlägig, wann die CVD-Policy, und was gilt für Mitarbeitende, die im eigenen Unternehmen eine Schwachstelle finden?

Redaktionelle Mängel

Fundstelle	Mangel	Vorschlag
Inhaltsverzeichnis	„Art 10 EMRK 334“ (Seitenzahl 33 mit Ziffer 4 der nächsten Zeile verschmolzen)	Korrigieren
S. 30 bis 31	Die Absätze „Rollendefinition“ und „Verantwortliche“ sind wortgleich doppelt vorhanden, die Überschrift „Verantwortliche“ erscheint zweimal	Dublette entfernen
S. 18	„zukommen zu lassenn“	„zukommen zu lassen“
Abkürzungsverzeichnis	StPO als „BGBl I 631/1975“ zitiert, die Reihe BGBl. I besteht erst seit 1997	„BGBl. Nr. 631/1975“
Abkürzungsverzeichnis	CSA 2 als Verordnung bezeichnet	Als Kommissionsvorschlag kennzeichnen
Abschnitt 3.1	CRA im Futur dargestellt	An die geltende Rechtslage anpassen
Abschnitt 3.5	Verweis auf §§ 36 ff DSG	Streichen oder auf Behördenverarbeitung beschränken

Internationaler Vergleich

Estland

Estland gilt als digitaler Vorreiter der EU. Bei der koordinierten Offenlegung von Schwachstellen ist das Bild differenzierter, und gerade das ist für Österreich lehrreich.

Lange kein formales Verfahren. Die ENISA stellte in ihrer Bestandsaufnahme 2022 fest, dass Estland keine nationale CVD-Policy umgesetzt hatte. Schwachstellen wurden über bestehende Institutionen behandelt. Private Unternehmen und Forschung waren zwar aktiv, die Zusammenarbeit mit staatlichen Stellen war aber nicht formalisiert.

ROCA als Wendepunkt. Den Anstoß gab die ROCA-Schwachstelle im Chip des estnischen Personalausweises. Ein internationales Forschungsteam informierte die Informationssystembehörde RIA am 30. August 2017. Betroffen waren rund 750.000 Ausweise. Die RIA hielt danach fest, dass die erwarteten Informationsquellen, internationale Meldemechanismen und Herstellerhinweise, versagt hatten, während externe Forschende die Behebung ermöglichten.

Der Staat als Auftraggeber der Forschenden. Die Konsequenz war kein Gesetz, sondern Praxis. 2022 startete die RIA ein eigenes Bug-Bounty-Programm für staatliche Systeme, abgewickelt über die Plattform HackerOne, mit Prämien von bis zu 3.000 Euro für kritische Schwachstellen. Bis Anfang 2024 gingen rund 11.000 Meldungen ein, davon 7.859 im Jahr 2023, mehr als die Hälfte zu Cross-Site-Scripting. Parallel schloss die RIA im Frühjahr 2022 einen Vertrag über kontinuierliches Red Teaming und baute ein eigenes Red Team auf, das nach eigenen Angaben in das Netz jeder geprüften Institution eindringen konnte.

Rechtsrahmen nach NIS2. Estland hat NIS2 durch eine Novelle des Küberturvalisuse seadus (Cybersicherheitsgesetz) umgesetzt, die am 1. Jänner 2026 in Kraft trat. Die RIA übernimmt danach die Aufgaben des CVD-Koordinators nach Art. 12 Abs. 1 NIS-2-Richtlinie. Das Gesetz erlaubt ihr ausdrücklich, Diensteanbieter und andere Personen über Schwachstellen zu informieren, und sie führt ein Register, in das auch Schwachstellen eingetragen werden. Die Risikomanagementpflichten werden in einer Verordnung konkretisiert, die sich am nationalen Informationssicherheitsstandard E-ITS orientiert. CERT-EE ist seit 2006 aktiv, rund um die Uhr besetzt und war 2017 die fünfte Organisation weltweit mit SIM3-Zertifizierung.

Kein gesetzlicher Safe Harbour. Das estnische Strafgesetzbuch stellt in § 217 die unrechtmäßige Erlangung von Zugang zu Computersystemen durch Beseitigung oder Umgehung von Schutzmaßnahmen unter Strafe. Eine besondere Ausnahme für Sicherheitsforschende ist nicht ersichtlich. Die estnische Polizei verweist auf legale Wege über Vermittlungsplattformen und Arbeitgeber, die solche Tätigkeiten offiziell bezahlen.

Bewertung. Estlands Stärke liegt nicht im Recht, sondern in der Haltung. Der Staat betrachtet externe Forschende als Ressource, bezahlt sie und lässt die eigenen Systeme laufend angreifen. Für Österreich folgt daraus: Die rechtliche Absicherung sollte sich an Belgien orientieren, die staatliche Praxis an Estland. Ein Bug-Bounty-Programm für die IKT des Bundes und kontinuierliche Angriffssimulationen für Bundesbehörden würden die Glaubwürdigkeit der Nationalen CVD-Policy erheblich stärken.

Belgien

Belgien hat seit 15. Februar 2023 einen gesetzlichen Rahmen für ethisches Hacking. Er ist heute in Art. 22 und 23 des belgischen NIS2-Gesetzes vom 26. April 2024 geregelt. Natürliche und juristische Personen, die ohne betrügerische oder schädigende Absicht handeln, dürfen Schwachstellen in Netz- und Informationssystemen in Belgien untersuchen und melden, wenn sie strenge Bedingungen einhalten:

• Verhältnismäßigkeit der Handlungen,
• vereinfachte Meldung an die betroffene Organisation und das Centre for Cybersecurity Belgium (CCB) binnen 24 Stunden,
• vollständige Meldung binnen 72 Stunden,
• keine Veröffentlichung ohne Zustimmung des CCB.

Der Schutz gilt unabhängig davon, ob die betroffene Organisation selbst unter NIS2 fällt. Er schützt vor straf- und zivilrechtlicher Verfolgung, begründet aber keinen Anspruch auf Entlohnung. Mit „Hack the Government 2024“ hat die belgische Bundesregierung den Rahmen auch öffentlich mit Leben erfüllt.

Das belgische Modell zeigt, dass eine gesetzliche Safe-Harbour-Regelung im Rahmen der NIS2-Umsetzung möglich ist, ohne „Hacking“ allgemein straffrei zu stellen. Die Meldefristen von 24 und 72 Stunden sind ambitioniert, sie sichern aber zugleich, dass Funde nicht gehortet werden.

Niederlande

Die Niederlande verfügen über keine gesetzliche Ausnahme, aber über eine veröffentlichte Strafverfolgungsrichtlinie der Staatsanwaltschaft (Openbaar Ministerie). Erstattet eine Organisation ohne eigene CVD-Policy Anzeige gegen einen ethischen Hacker, ist das für die Staatsanwaltschaft kein Grund, diesen unmittelbar als Verdächtigen zu führen. Bei der Entscheidung über eine Verfolgung wiegt der Beitrag der CVD zu einer sicheren digitalen Welt schwer. Ergänzend gibt das Nationale Cyber Security Centrum (NCSC) einen Leitfaden heraus, der mit Staatsanwaltschaft und Polizei abgestimmt ist.

Der österreichische Erlass des BMJ vom 23. August 2023 geht in eine ähnliche Richtung. Er ist jedoch kaum bekannt und nicht als öffentliche Verfolgungsrichtlinie gestaltet. Er sollte als eigenständige, laufend aktualisierte Richtlinie veröffentlicht und im Leitfaden prominent verlinkt werden.

Überblick

Kriterium	Österreich	Estland	Belgien	Niederlande
CVD-Koordinator	nationales CSIRT (CERT.at) nach § 11 NISG 2026	RIA nach Cybersicherheitsgesetz (seit 1.1.2026)	CCB nach NIS2-Gesetz	NCSC
Strafrechtlicher Schutz	kein gesetzlicher Safe Harbour, Schutz über Absichtserfordernis und Ermächtigungsdelikt des § 118a StGB	kein gesetzlicher Safe Harbour	gesetzlicher Safe Harbour unter strengen Bedingungen (Art. 22 f NIS2-Gesetz)	kein gesetzlicher Safe Harbour, veröffentlichte Verfolgungsrichtlinie
Staatliche Praxis	keine bundesweite Bug-Bounty-Praxis bekannt	Bug-Bounty-Programm der RIA seit 2022, kontinuierliches Red Teaming	„Hack the Government“, CVD-Policy des CCB	etablierte CVD-Kultur in Verwaltung und Wirtschaft
Besonderheit	Leitfaden ist seit NISV 2026 faktischer Prüfmaßstab	Stärke in der Umsetzung, nicht im Recht	Meldepflicht an CCB binnen 24 bzw. 72 Stunden	Leitfaden mit Staatsanwaltschaft abgestimmt

CVD-Pflicht für alle NIS-2-Einrichtungen

Die Pflicht besteht bereits

Die Frage, ob man jede NIS-2-pflichtige Einrichtung zu einem CVD-Verfahren verpflichten könnte, ist nach geltendem Recht im Grundsatz bereits beantwortet. Die Kette der Normen lautet:

1. Art. 21 Abs. 2 lit. e NIS-2-Richtlinie verlangt Sicherheitsmaßnahmen einschließlich des Umgangs mit Schwachstellen und deren Offenlegung.
2. § 32 Abs. 4 lit. e NISG 2026 setzt dies wortgleich um: „einschließlich Management und Offenlegung von Schwachstellen“.
3. § 32 Abs. 5 NISG 2026 ermächtigt die Cybersicherheitsbehörde, nähere Anforderungen festzulegen und Durchführungsrechtsakte der Kommission auf weitere Sektoren zu erstrecken.
4. § 2 NISV 2026 erklärt den Anhang der Durchführungsverordnung (EU) 2024/2690 auf alle wesentlichen und wichtigen Einrichtungen der Anlagen 1 und 2 NISG 2026 für anwendbar.
5. Nummer 6.10.2 lit. e dieses Anhangs verpflichtet dazu, ein Verfahren für die Offenlegung von Schwachstellen im Einklang mit den geltenden nationalen Konzepten für die koordinierte Offenlegung festzulegen.

Diese Anforderung ist, anders als etwa die Schwachstellen-Scans in lit. b, nicht unter den Vorbehalt „soweit angemessen“ gestellt. Kann eine Einrichtung ihr aufgrund ihrer Größe oder vorübergehend nicht entsprechen, muss sie nach § 4 NISV 2026 kompensierende Maßnahmen setzen, begründet dokumentieren und jährlich auf ihre Wirksamkeit prüfen. Ein vollständiger Verzicht ist damit nicht vorgesehen. Ausgenommen sind lediglich Einrichtungen, für die sektorspezifisches Unionsrecht mit gleichwertigem Niveau gilt (§ 27 NISG 2026), insbesondere Finanzunternehmen unter DORA.

Seit Anfang Oktober 2026 sind damit grob geschätzt rund 5.000 Einrichtungen in Österreich verpflichtet, ein CVD-Verfahren festzulegen. Die Pflicht ist Teil der Risikomanagementmaßnahmen, deren Umsetzung in der Selbstdeklaration binnen zwölf Monaten ab Registrierung darzulegen ist. Verstöße sind nach dem NISG 2026 mit Geldstrafen bedroht.

Offene Auslegungsfragen

Die bestehende Pflicht hat drei Schwächen.

Was ist „ein Verfahren für die Offenlegung“? Der Wortlaut lässt offen, ob nur die Offenlegung eigener Erkenntnisse oder auch die Entgegennahme externer Meldungen gemeint ist. Teleologisch und im Licht von Art. 12 NIS-2-Richtlinie sowie der technischen Umsetzungsleitlinien der ENISA ist die Entgegennahme und Koordination externer Meldungen eingeschlossen. Ein Offenlegungsverfahren ohne Eingangskanal wäre sinnlos. Eine Klarstellung durch das Bundesamt für Cybersicherheit wäre dennoch geboten.

Muss das Verfahren öffentlich sein? Eine Veröffentlichungspflicht ist nicht ausdrücklich vorgesehen. Ein Meldekanal, den Außenstehende nicht finden, verfehlt aber seinen Zweck. Mindestens die Kontaktadresse sollte maschinenlesbar über security.txt nach RFC 9116 auffindbar sein.

Was heißt „im Einklang mit den nationalen Konzepten“? Der Verweis macht den Leitfaden zum Prüfmaßstab. Er enthält aber keine prüffähigen Mindestinhalte. Prüfstellen nach § 33 NISG 2026 und das Bundesamt werden daher uneinheitlich beurteilen, was genügt. Das ist der stärkste Grund, die in Abschnitt 4 genannten Mängel rasch zu beheben.

Regelungsoptionen

Wir sehen vier Optionen, die einander ergänzen und nicht ausschließen.

Option A: Klarstellung durch das Bundesamt für Cybersicherheit. Eine Leitlinie oder ein Prüfkatalog zur Selbstdeklaration legt fest, was ein CVD-Verfahren nach Nummer 6.10.2 lit. e mindestens enthalten muss. Diese Option ist ohne Rechtsänderung sofort umsetzbar. Sie wirkt aber nur als Auslegungshilfe.

Option B: Ergänzung der NISV 2026. Die Cybersicherheitsbehörde kann auf Grundlage von § 32 Abs. 5 NISG 2026 eine eigene Bestimmung über die koordinierte Offenlegung in die NISV aufnehmen. Sie würde die Mindestinhalte verbindlich festlegen. Die Verordnungsermächtigung trägt das, weil es um „nähere Anforderungen an die Risikomanagementmaßnahmen“ geht.

Option C: Gesetzliche Regelung im NISG 2026 und im StGB. Nur der Gesetzgeber kann einen echten Safe Harbour nach belgischem Vorbild schaffen und die CVD-Kommunikation beim Koordinator unter Beschlagnahmeschutz stellen. Eine solche Regelung sollte, wie in Belgien, unabhängig davon gelten, ob die betroffene Organisation selbst unter das NISG fällt. Damit würde zugleich der zweite Punkt der Entschließung des Nationalrats erfüllt.

Option D: Erweiterung über den NIS-2-Anwendungsbereich hinaus. Für Gemeinden, ausgegliederte Rechtsträger und Auftragnehmer der öffentlichen Hand außerhalb des NISG könnte eine öffentlich erreichbare CVD-Policy über Vergabe- und Förderbedingungen eingefordert werden. Für Hersteller regelt der CRA ab Dezember 2027 eine eigene Pflicht.

Vorgeschlagene Mindestinhalte

Für Option A oder B schlagen wir folgende Mindestinhalte vor:

Element	Mindestanforderung
Auffindbarkeit	security.txt nach RFC 9116 unter jeder öffentlich genutzten Domain, mit Kontaktadresse, Ablaufdatum und Verweis auf die Policy
Geltungsbereich	Beschreibung der umfassten und ausgeschlossenen Systeme, ausdrücklicher Ausschluss aktiver Tests an OT-Produktivsystemen ohne Vereinbarung
Verhaltensregeln	Mindestens die Grundprinzipien der Nationalen CVD-Policy
Zustimmung und Safe Harbour	Zustimmung zur Untersuchung im definierten Rahmen, Zusage, keine Ermächtigung nach § 118a Abs. 3 StGB zu erteilen, Verzicht auf zivilrechtliche Ansprüche bei richtlinienkonformem Handeln
Fristen	Eingangsbestätigung binnen 5 Werktagen, Erstbewertung binnen 14 Tagen, Standardfrist bis zur Offenlegung 90 Tage
Koordination	Einbindung von CERT.at bei mehreren betroffenen Anbietern oder Staaten, Weiterleitung von Funden in Drittprodukten an den Hersteller
Integration	Verknüpfung mit Patch-, Änderungs-, Risiko- und Vorfallsmanagement (Nummer 6.10.2 lit. d), Prüfung von Meldepflichten nach Art. 33 DSGVO und § 34 NISG 2026
Kleine Einrichtungen	Zulässige kompensierende Maßnahme: Meldekanal über einen beauftragten Dienstleister mit dokumentierter Weiterleitung, sofern die übrigen Inhalte gewahrt sind

Einwände und Bewertung

Aufwand. Eine security.txt, ein überwachtes Postfach und ein beschriebener Ablauf verursachen geringe Kosten. Die eigentliche Arbeit, Schwachstellen zu bewerten und zu beheben, müssen Einrichtungen nach § 32 NISG 2026 ohnehin leisten.

Flut minderwertiger Meldungen. Die Sorge ist berechtigt, wie der Leitfaden selbst einräumt. Sie spricht für klare Regeln zu nicht relevanten Befunden, für Triage durch Dienstleister oder Plattformen und für die Möglichkeit, offensichtlich automatisierte Meldungen ohne Verifikation knapp zu beantworten. Gegen eine Pflicht spricht sie nicht.

„Einladung an Angreifer“. Angreifer brauchen keine Einladung. Eine CVD-Policy ändert nichts an der Angriffsfläche, sie schafft nur einen Kanal für diejenigen, die eine gefundene Schwachstelle melden wollen.

Haftung. Einrichtungen fürchten, durch eine Policy Rechte aus der Hand zu geben. Der Verzicht gilt aber nur für richtlinienkonformes Verhalten, also für Handlungen, die der Einrichtung nützen.

Kritische Infrastruktur und OT. Hier ist Zurückhaltung geboten. Die Lösung liegt im Geltungsbereich: Meldungen bleiben erwünscht, aktive Tests an Produktivsystemen sind ohne Vereinbarung ausgeschlossen.

Ergebnis. Eine Pflicht zu einem CVD-Verfahren für alle NIS-2-Einrichtungen ist rechtlich nicht nur möglich, sie besteht seit der NISV 2026 bereits. Was fehlt, sind verbindliche Mindestinhalte, eine einheitliche Prüfpraxis und die rechtliche Absicherung derjenigen, die das Verfahren nutzen sollen. Ohne Safe Harbour bleibt eine CVD-Pflicht ein Briefkasten, in den sich niemand traut, etwas einzuwerfen.

Empfehlungen

1. Gesetzlicher Safe Harbour. BMJ und BMI sollten den zweiten Punkt der Entschließung vom 21. Jänner 2026 umsetzen und eine Regelung nach dem Vorbild von Art. 22 und 23 des belgischen NIS2-Gesetzes vorlegen. Sie sollte alle bei der Schwachstellensuche typischerweise berührten Tatbestände erfassen und nicht nur § 118a StGB.
2. Schutz der CVD-Kommunikation. Kommunikation mit dem CVD-Koordinator sollte einem gesetzlichen Beschlagnahme- und Verwertungsverbot unterliegen, mit eng begrenzten Ausnahmen.
3. Transparenter Abwägungsprozess. Für das Zurückhalten von Schwachstellen durch staatliche Stellen braucht es einen gesetzlich geregelten Vulnerabilities Equities Process mit Offenlegungsvermutung, Befristung, unabhängiger Kontrolle und Bericht an den Nationalrat. Daten aus der CVD-Koordination dürfen nicht für offensive Zwecke genutzt werden.
4. Mindestinhalte nach NISV 2026. Das Bundesamt für Cybersicherheit sollte die Mindestinhalte eines CVD-Verfahrens nach Nummer 6.10.2 lit. e festlegen, zunächst als Leitlinie und mittelfristig in der NISV.
5. Ausgewogene Fristen. Standardfrist 90 Tage, Verlängerung für Hardware und OT bis 180 Tage mit Zwischenmaßnahmen, Offenlegungsrecht der Meldenden nach Fristablauf und Vorankündigung.
6. Überarbeitung des Datenschutzkapitels. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO mit Erwägungsgrund 49, Streichung der Verweise auf Auftragsverarbeitung bei unbeauftragter Forschung und auf §§ 36 ff DSG, Ergänzung um Art. 33 und 34 DSGVO sowie § 34 NISG 2026.
7. Aktualisierung des CRA-Kapitels. Darstellung der geltenden Meldepflichten nach Art. 14, des Zusammenspiels mit der CVD-Meldung, der Rolle von CERT.at, der ab Dezember 2027 geltenden Herstellerpflichten und der Händlerpflichten nach Art. 20.
8. Mustervorlagen. Veröffentlichung einer Muster-CVD-Policy mit Safe-Harbour-Klausel und einer Muster-security.txt, ergänzt um eine Empfehlung, die Nicht-Erteilung der Ermächtigung nach § 118a Abs. 3 StGB zuzusagen.
9. Vorbildwirkung des Bundes. Veröffentlichung von CVD-Policies und security.txt für alle Bundesdienststellen sowie ein Bug-Bounty-Programm und kontinuierliche Angriffssimulationen für die IKT des Bundes nach estnischem Vorbild.
10. Verfolgungsrichtlinie. Veröffentlichung des BMJ-Erlasses von 2023 als eigenständige, aktualisierte Verfolgungsrichtlinie nach niederländischem Vorbild.
11. Normen und OT. Verweise auf ISO/IEC 29147 und 30111, Ergänzung um EPSS, SSVC und Kataloge ausgenutzter Schwachstellen, ausdrückliche Regeln für OT, Medizinprodukte und Fahrzeuge.
12. Redaktion. Behebung der in Abschnitt 4.10 aufgelisteten Mängel.

Hinweise für Einrichtungen

Unabhängig von einer Überarbeitung des Leitfadens sollten wesentliche und wichtige Einrichtungen jetzt handeln, weil die Pflicht nach Nummer 6.10.2 lit. e Anhang DVO 2024/2690 in Verbindung mit § 2 NISV 2026 bereits gilt. Wir empfehlen:

• Veröffentlichung. Eine eigene CVD-Policy und eine security.txt veröffentlichen, mit ausdrücklicher Zustimmung zur Untersuchung im definierten Rahmen, Zusage der Nicht-Erteilung der Ermächtigung nach § 118a Abs. 3 StGB und Verzicht auf zivilrechtliche Ansprüche bei richtlinienkonformem Verhalten.
• Integration. Das Verfahren in Vorfalls-, Patch- und Datenschutzprozesse einbinden, insbesondere die Prüfung von Meldepflichten nach Art. 33 DSGVO und § 34 NISG 2026.
• Dokumentation. Das Verfahren in der Selbstdeklaration nach NISG 2026 dokumentieren.
• Hersteller. Hersteller von Produkten mit digitalen Elementen müssen zusätzlich die seit 11. September 2026 geltenden CRA-Meldepflichten erfüllen.

Quellen

• Bundesministerium für Inneres u. a.: Nationale CVD-Policy, Leitfaden, Wien 2026. https://www.bmi.gv.at/504/files/nationale-cvd-policy-2026-bf-20260618.pdf
• Nationale CVD-Policy, Leitfaden, Fassung 2024. https://www.cert.at/media/files/downloads/papers/CVD_Policy/Nationale-CVD-Policy-bf.pdf
• Entschließung des Nationalrates vom 21. Jänner 2026, 67/E XXVIII. GP. https://www.parlament.gv.at/dokument/XXVIII/E/67/fname_1736755.pdf
• Parlamentskorrespondenz Nr. 39 vom 21.01.2026. https://www.parlament.gv.at/aktuelles/pk/jahr_2026/pk0039
• NISG 2026, BGBl. I Nr. 94/2025, insbesondere § 32. https://ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273893/NOR40273893.html
• NISV 2026, BGBl. II Nr. 290/2026. https://www.ris.bka.gv.at/eli/bgbl/II/2026/290
• Erläuterungen zur NISV 2026, Bundesamt für Cybersicherheit. https://www.bundesamt-cybersicherheit.gv.at/501/files/nisv-2026-erlaeuterungen-20261002.pdf
• Durchführungsverordnung (EU) 2024/2690, Anhang Nummer 6.10. https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:L_202402690
• § 118a StGB, geltende Fassung. https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10002296&Paragraf=118a
• epicenter.works: Good Hackers, Bad Law. https://epicenter.works/en/content/good-hackers-bad-law
• ENISA: Coordinated Vulnerability Disclosure Policies in the EU, April 2022. https://www.enisa.europa.eu/sites/default/files/publications/Coordinated%20Vulnerability%20Disclosure%20policies%20in%20the%20EU.pdf
• ENISA: Factsheet zur einheitlichen Meldeplattform gemäß Cyberresilienz-Verordnung. https://www.enisa.europa.eu/sites/default/files/2026-09/ENISA_SRP_FACTSHEET_01DE.pdf
• RIA: Cyber Security in Estonia 2023 und 2024. https://www.ria.ee/en/media/2702/download und https://www.ria.ee/sites/default/files/documents/2024-02/Cyber-security-in-Estonia-2024.pdf
• ERR News: Estonia’s RIA testing out new defense weapons against cyber warfare. https://news.err.ee/1608697462/estonia-s-ria-testing-out-new-defense-weapons-against-cyber-warfare
• Küberturvalisuse seadus (Estland), Riigi Teataja. https://www.riigiteataja.ee/akt/130122025015
• Eversheds Sutherland: NIS2 in Estonia. https://ezine.eversheds-sutherland.com/eu-nis2-directive/estonia
• Interoperable Europe: Potential security flaw in Estonian ID card chip. https://interoperable-europe.ec.europa.eu/collection/eidentity-and-esignature/news/potential-security-flaw-es
• Europarat, Octopus: Legal profile Estonia. https://rm.coe.int/octocom-legal-profile-estonia/16809e5982
• Centre for Cybersecurity Belgium: Coordinated Vulnerability Disclosure Policy. https://ccb.belgium.be/node/299
• news.belgium.be: Hack the Government 2024. https://news.belgium.be/en/node/38424
• Openbaar Ministerie: Coordinated Vulnerability Disclosure – ethisch hacken. https://www.om.nl/onderwerpen/cybercrime/coordinated-vulnerability-disclosure—ethisch-hacken
• Entschließungsantrag 1068/A(E) XXVIII. GP betreffend Moratorium für Staatstrojaner. https://www.parlament.gv.at/dokument/XXVIII/A/1068/imfname_1783458.pdf