CISA BOD 26-04: Das Ende von „Patch-Everything“ und der Beginn der 3-Tage-Uhr

Das Ende von „Patch-Everything“ und der Beginn der 3-Tage-Uhr

Was ist CISA BOD 26-04?

BOD 26-04 ist eine verbindliche operative Richtlinie der Cybersecurity and Infrastructure Security Agency (CISA), die die Entscheidungsfindung von Bundesbehörden verändert. welche Sicherheitslücken, die zuerst behoben werden müssen, und wie schnell. Anstatt alle Schwachstellen im KEV-Katalog gleich zu behandeln oder sich auf einen statischen CVSS-Wert zu verlassen, müssen Behörden nun jede Schwachstelle anhand von vier realen Risikosignalen bewerten und die Behebung nach einem abgestuften Zeitplan durchführen, der an diesen Wert gekoppelt ist.

CISA beschreibt dies als einen Wandel von Compliance-gesteuertes Patching Zu risikogesteuertes PatchingZiel ist es nicht, jede CVE auf einer Liste zu schließen, sondern zuerst diejenigen, die tatsächlich erreichbar sind, aktiv ausgenutzt werden, leicht zu automatisieren sind und echten Schaden anrichten können. 

BOD 26-04 ersetzt formell zwei frühere Richtlinien.:

• BOD 22-01 (Verringerung des erheblichen Risikos bekannter ausgenutzter Schwachstellen, November 2021), die Richtlinie, mit der der KEV-Katalog und seine 14-tägigen/6-monatigen Abhilfezeiträume geschaffen wurden.
• BOD 19-02 (Anforderungen an die Behebung von Sicherheitslücken in internetfähigen Systemen, April 2019), die frühere Richtlinie für eine flache Zeitleiste für internetseitige Systeme.

Warum hat CISA die BOD 26-04 jetzt herausgegeben?

Zwei Trends trafen aufeinander. Erstens verschlechterte sich die Sanierungsleistung, anstatt sich zu verbessern: laut Verizon-Datenschutzverletzungsbericht 2026, nur 26% der in der KEV-Liste aufgeführten Schwachstellen wurden im Jahr 2025 vollständig behoben., gegenüber 38% im Vorjahr, und die mittlere Sanierungszeit stieg auf 43 Tage, Obwohl die Ausnutzung bekannter Sicherheitslücken weiterhin ein Hauptangriffsweg war, führten strikte Fristen nicht zu schnelleren Patches, sondern zu Patch-Müdigkeit.

Zweitens hat CISA deutlich gemacht, dass KI das Zeitfenster zwischen der Offenlegung von Sicherheitslücken und deren Ausnutzung verkürzt. Wenn Angreifer mithilfe von KI innerhalb weniger Tage von einer veröffentlichten CVE zu einem funktionierenden Exploit gelangen können, ist eine pauschale Frist von 14 Tagen sowohl zu langsam für die wichtigsten Sicherheitslücken als auch zu streng für die weniger wichtigen. BOD 26-04 ist die Antwort von CISA: Die wenigen wirklich gefährlichen Sicherheitslücken sollen so schnell wie nie zuvor behoben werden (3 Tage), während die meisten anderen, weniger gefährlichen Sicherheitslücken durch eine Verschiebung auf das nächste System-Upgrade entlastet werden.

Was sind die vier Risikokriterien in BOD 26-04?

Jede Schwachstelle jedes Assets wird anhand von vier Fragen bewertet:

1. AnlagenrisikoIst das gefährdete System über das öffentliche Internet erreichbar? (Die Behörden müssen dies durch kontinuierliche Anlagenermittlung selbst feststellen.)
2. KEV-StatusIst die Schwachstelle im Katalog bekannter ausgenutzter Schwachstellen der CISA aufgeführt? (Dieser Katalog wird von der CISA veröffentlicht.)
3. Automatisierbarkeit ausnutzenKann ein Angreifer jeden Schritt der Ausnutzung automatisieren? (CISA veröffentlicht dies über sein Vulnrichment-Programm.)
4. Technische AuswirkungenFührt eine erfolgreiche Verwertung zu einer teilweisen oder vollständigen Kontrolle über das Vermögen? (Die CISA veröffentlicht diese Frage.)

Dies ist ein Entscheidungsbaum, keine Checkliste; Die Kombination Die Stufe der Sicherheitsmaßnahmen hängt von verschiedenen Faktoren ab, nicht einfach von der Anzahl der abgehakten Punkte. Trennt man ein System vom öffentlichen Internet, ändert sich dessen Systemuhr, selbst wenn die zugrundeliegende Sicherheitslücke noch nicht behoben ist. Genau diese Designentscheidung ist der Grund, warum BOD 26-04 so stark auf eine kontinuierliche, präzise Bestandsaufnahme der Systemressourcen setzt und nicht auf punktuelle Scans.

Welche Sanierungsfristen gelten für BOD 26-04?

BOD 26-04 ersetzt die zwei Zeitpläne von BOD 22-01 durch ein abgestuftes, fünfstufiges Modell:

Risikoprofil	Sanierungsfenster
Öffentlich zugänglich + KEV-gelistet + automatisierbar + vollständige Kontrolle	3 Tage, zuzüglich einer obligatorischen forensischen Triage bei vorangegangener Kompromittierung
Öffentlich zugänglich + automatisierbar + vollständige Kontrolle (noch nicht KEV-gelistet)	3 Tage
Die meisten in KEV aufgeführten Schwachstellen	14 Tage
Kombinationen mit geringerem Risiko (nicht exponiert, automatisierbar, teilweise Kontrolle)	60 Tage
Schwachstellen, die keines der vier Kriterien erfüllen	Behebung beim nächsten geplanten System-Upgrade

Eine erste Analyse einer großen zivilen Behörde ergab, dass nur etwa 1% der Schwachstellenfälle fielen in die 3-Tage-Stufe., während mehr als 60% qualifizierte sich für einen Aufschub bis zum nächsten System-Upgrade ist dies ein Beweis dafür, dass das Modell darauf ausgelegt ist, Dringlichkeit zu konzentrieren, anstatt sie gleichmäßig zu verteilen.

Welche wichtigen Termine gelten für die Einhaltung der BOD 26-04-Vorschrift?

Datum	Erfordernis
7. Dezember 2026	Die Behörden müssen die in der Richtlinie festgelegten vollständigen Fristen für die Abhilfemaßnahmen einhalten.
7. Dezember 2026	FedRAMP-autorisierte Cloud-Service-Anbieter müssen Regelsätze für die Erkennung und Reaktion auf Schwachstellen (VDR) sowie für die Bewertung und Meldung von Schwachstellen (VER) implementieren.
7. März 2027	Frist für FedRAMP-Korrekturmaßnahmenpläne; nicht konforme Cloud-Dienste riskieren nach diesem Datum den Verlust der FedRAMP-Zulassung.

Für wen gilt BOD 26-04?

BOD 26-04 ist verbindlich für Bundesbehörden der zivilen Exekutive (FCEB). Es bindet weder Bundesauftragnehmer noch private Unternehmen direkt, aber seine praktische Reichweite ist größer:

• Agenturen Die Verträge müssen überprüft werden, um sicherzustellen, dass die von Auftragnehmern betriebenen Systeme denselben Standard erfüllen.
• FedRAMP-autorisierte Cloud-Service-Anbieter Sie stehen vor einer harten, zwingenden Frist (7. Dezember 2026) zur Übernahme der VDR/VER-Regelwerke; nach dem 7. März 2027 ist die Zulassung gefährdet.
• Organisationen des Staates, der Kommunen und des privaten Sektors Die Anwendung des Rahmenwerks wird empfohlen, aber nicht vorgeschrieben. Da der KEV-Katalog gemäß BOD 22-01 zu einem De-facto-Standard für kommerzielle Zwecke geworden ist. Schwachstellenmanagement, Bei Cyberversicherungen werden die Underwriting- und Prüfungsrahmen innerhalb von etwa 18 Monaten nach Veröffentlichung der BOD 26-04 voraussichtlich ähnlich verlaufen.

Worin unterscheidet sich BOD 26-04 von BOD 22-01?

	BOD 22-01 (2021)	BOD 26-04 (2026)
Priorisierungsgrundlage	KEV-Eintrag allein	Vier-Faktoren-Risikomodell (Exposition, KEV, Automatisierbarkeit, Auswirkung)
Zeitleisten	Pauschal: 14 Tage (KEV) oder 6 Monate	Abschluss: 3/14/60 Tage, oder verschoben
forensische Anforderung	Keiner	Obligatorische Triage für die höchste Risikostufe
Aufschuboption	Keiner	Ja; “Behebung beim nächsten System-Upgrade” für Fälle mit dem geringsten Risiko.
Zugrundeliegende Methodik	Effektiv CVSS/KEV-nah	CISAs Stakeholder-spezifische Schwachstellenkategorisierung (SSVC)

Was genau erfordert BOD 26-04 im operativen Bereich?

Die Einhaltung einer dreitägigen Frist, insbesondere wenn eine forensische Triage erforderlich ist, ist keine Aktualisierung der Richtlinien … Es handelt sich um ein Infrastruktur- und Workflow-Problem. Konkret erfordert BOD 26-04 Folgendes:

• Kontinuierliche, präzise Anlagenerkennung Das spiegelt die tatsächliche Internetpräsenz wider, nicht ein CMDB-Tag, das Monate alt ist.
• Automatisierte Aufnahme von KEV- und Vulnrichment-Daten Der Status der Ausnutzung und Automatisierbarkeit ist also zum Zeitpunkt der Veröffentlichung durch CISA aktuell.
• Ein Ergebnisdiagramm, das CVEs mit spezifischen Vermögenswerten verknüpft. unter Berücksichtigung des Geschäfts- und Netzwerkkontexts, sodass dieselbe Schwachstelle je nach ihrem Speicherort unterschiedlich bewertet werden kann.
• Automatisierte Zeitberechnung und SLA-Durchsetzung; Niemand kann die Fristen für die Behebung von Mängeln für Tausende von Anlagen schnell genug von Hand berechnen, um ein 3-Tage-Fenster einzuhalten.
• forensische Triage-Fähigkeit Dies kann sofort bei schwerwiegenden Sicherheitslücken angewendet werden, da das bloße Einspielen von Patches einen Angreifer, der das System bereits ausgenutzt hat, nicht vertreibt.
• Ein nachvollziehbarer Prüfpfad Die Dokumentation, warum jeder Schwachstelle ihre Stufe zugewiesen wurde, ist wichtig, da BOD 26-04 die Überprüfung durch den Generalinspektor von “Haben Sie es behoben?” hin zu “War Ihre Risikobewertung korrekt und können Sie sie beweisen?” verschiebt.”

Für die meisten Organisationen besteht die eigentliche Lücke nicht in einer Richtlinienlücke, sondern darin, dass kein Team diese Entscheidung anhand von vier Variablen jedes Mal manuell für ein wachsendes Anlageninventar erneut durchführen kann, wenn CISA die KEV- oder Vulnrichment-Daten aktualisiert.

Ist Ihr Programm bereit für BOD 26-04? Ein kurzer Check:

Bevor Sie sich mit den Tools befassen, sollten Sie Ihr aktuelles Programm anhand dieser sechs Fragen prüfen; es sind genau die Fragen, die ein Auditor, ein Generalinspektor oder ein entschlossener Angreifer stellen würde:

1. Lässt sich anhand des aktuellen Zustands, und nicht erst durch einen vierteljährlichen Scan, jetzt schon feststellen, ob eine bestimmte CVE-Schwachstelle auf einem mit dem Internet verbundenen System vorhanden ist?
2. Werden die KEV- und Vulnance-Anreicherungsdaten von CISA automatisch in Ihre Priorisierung einbezogen, oder überprüft jemand den Katalog manuell?
3. Wenn eine Sicherheitslücke am Freitag um 2 Uhr morgens die 3-Tage-Stufe erreicht, passiert dann vor Montag noch etwas?
4. Kann Ihr Team jedes Mal innerhalb von 24 Stunden eine forensische Triage einleiten und flüchtige Beweismittel sammeln, bevor ein Patch ausgeliefert wird?
5. Wird die Behebung einer Sicherheitslücke auf “das nächste System-Upgrade” verschoben, wird diese Entscheidung irgendwo protokolliert, wo ein Auditor sie finden kann?
6. Könnten Sie heute eine nachvollziehbare Dokumentation erstellen, die begründet, warum jeder offenen Sicherheitslücke die jeweilige Behebungsstufe zugewiesen wurde?

Wenn mehr als eine oder zwei dieser Fragen mit “Nein” beantwortet werden, liegt das Problem nicht in den Richtlinien, sondern in der Automatisierung und Transparenz. Genau diese Lücke können Swimlane-Kunden schnell schließen, und genau hier setzen die meisten potenziellen Kunden das Gespräch an.

Wie Swimlane-Mapping den Anforderungen von BOD 26-04 entspricht, Anforderung für Anforderung

BOD 26-04 Anforderung	Was es verlangt	Wie das Swimlane-Schwachstellenmanagement dies ermöglicht
Kontinuierliche Bewertung des Anlagenrisikos	Eine Echtzeit-Antwort auf die Frage “Ist dies vom Internet aus erreichbar?”, keine veraltete CMDB-Kennzeichnung.	Autonome Integrationen Live-Daten aus Anlageninventaren, CMDBs und Exposure-Tools in einer zentralen, korrelierten Ansicht zusammenführen
KEV / Vulnrichment-Ingestion	Automatische Erfassung des KEV-Katalogs und der Ausnutzbarkeitsdaten der CISA unmittelbar nach der Veröffentlichung	Swimlane Intelligence (Teil von VRM) erweitert die Ergebnisse um bekannte Sicherheitslücken, VCSS-Bewertungen, EPSS-Bewertungen und mehr als 30 anpassbare Anreicherungsquellen.
Vier-Faktoren-Risikobewertung	Kombinieren Sie Exposition, KEV-Status, Automatisierbarkeit und Auswirkung pro Anlage kontinuierlich.	Der VRM-Priorisierungsrang nutzt Swimlane Intelligence, um Risiken automatisch zu bewerten und Reaktionen zu priorisieren, wobei Ausnahmen berücksichtigt werden, um unnötige Warnmeldungen zu reduzieren.
3-tägige Antwortstufe	Sofortige Triage und Maßnahmen ohne manuelle Engpässe	Turbines automatisierte Schwachstellensuche gruppiert CVEs mit Assets und Geschäftsinhabern und verkürzt so die Zeit für die Suche und Priorisierung auf wenige Minuten.
Obligatorische forensische Triage	Beweissammlung und Kompromissbewertung vor oder parallel zur Fehlerbehebung	Optimieren Sie die Schwachstellenverfolgung und Empfehlungen zur Behebung mit Fallmanagement-Anwendung von VRM, das sich in führende ITSM- und Kollaborationstools integrieren lässt.
SLA-Durchsetzung auf allen Ebenen	Programmatische, nachvollziehbare Zeitleistenverfolgung für 3/14/60-Tage- und aufgeschobene Schwachstellen	SLA-Tracking und dynamisches Asset-Risiko werden bewertet und kombiniert. Turbine Canvas-Playbooks kodieren alle fünf Ebenen, sodass die Durchsetzung nicht davon abhängt, ob sich jemand an eine Frist erinnert.
Nachvollziehbarer Prüfpfad	Dokumentation, die ein Generalinspektor oder ein Prüfer tatsächlich überprüfen kann	Jede automatisierte Entscheidung und Eskalation wird protokolliert und ist nachvollziehbar – keine Blackbox. Detaillierte Analysen sind verfügbar über Helden-KI.

Organisationen, die Swimlane Vulnerability Response Management (VRM)-Lösung haben über 30% schnellere Sicherheitspatches und 92% automatische Behebung berichtet.

Erfahren Sie mehr über Swimlane-Schwachstellenmanagement.

Wenn Sie bereits Swimlane-Kunde sind: Der schnellste Weg zur Einsatzbereitschaft ist lediglich ein neues Modul, keine grundlegende Plattformüberarbeitung. 

1. Prüfen Sie, ob Ihre KEV/Vulnrichment-Zuleitungen angeschlossen und mit Strom versorgt sind.
2. Bauen oder anpassen Sie ein Turbine Canvas Ein individueller Handlungsplan, der alle fünf Abhilfestufen berücksichtigt, anstatt einer einzigen, einheitlichen Service-Level-Vereinbarung (SLA).
3. Leiten Sie die wichtigsten Erkenntnisse zusammen mit einer forensischen Triage-Checkliste an das Fallmanagement weiter. 
4. Installieren Swimlanes SchwachstellenreaktionsmanagementDie Lösung stammt aus der Inhaltsbibliothek.
5. Ermitteln Sie, woher die Anlagendaten stammen können oder ob Swimlane Turbine die maßgebliche Datenquelle darstellt.
6. Verbinden Sie Ihre Quellen zur Schwachstellenerkennung und alle erforderlichen Drittanbietersysteme, um die Schwachstellendaten denjenigen innerhalb der Organisation zugänglich zu machen, die für die Behebung zuständig sind.

Ihr Swimlane-Account-Team kann Ihnen dabei helfen, dies in einer Arbeitssitzung genauer zu definieren.

Häufig gestellte Fragen zu BOD 26-04

Was ist CISA BOD 26-04?

BOD 26-04 ist eine verbindliche operative Richtlinie vom Juni 2026, die US-amerikanische zivile Bundesbehörden verpflichtet, die Behebung von Sicherheitslücken anhand eines Vier-Faktoren-Risikomodells zu priorisieren: Gefährdung von Anlagen, KEV-Status, Automatisierbarkeit von Exploits und technische Auswirkungen, anstatt pauschale, auf dem Schweregrad basierende Fristen zu verwenden.

Wann tritt BOD 26-04 in Kraft?

Es wurde am 10. Juni 2026 herausgegeben. Die Behörden müssen ihre Richtlinien unverzüglich aktualisieren und die vorgegebenen Fristen zur Behebung der Mängel bis zum 7. Dezember 2026 vollständig einhalten.

Ersetzt BOD 26-04 BOD 22-01?

Ja. BOD 26-04 ersetzt formell sowohl BOD 22-01 (2021, die KEV-Katalogrichtlinie) als auch BOD 19-02 (2019, internetfähige Systeme).

Was ist der kürzeste Sanierungszeitraum gemäß BOD 26-04?

Drei Tage für Schwachstellen, die öffentlich bekannt sind, im KEV-Katalog aufgeführt sind, automatisiert ausgenutzt werden können und die vollständige Kontrolle über das System ermöglichen. Diese Stufe erfordert zudem eine forensische Triage, um festzustellen, ob das System bereits kompromittiert wurde.

Ist BOD 26-04 für private Unternehmen verpflichtend?

Nein. Es ist nur für Bundesbehörden der Exekutive verbindlich, obwohl FedRAMP-autorisierte Cloud-Anbieter entsprechende Fristen einhalten müssen und die CISA eine breitere Anwendung befürwortet. Angesichts der Tatsache, wie schnell sich der KEV-Katalog gemäß BOD 22-01 zu einem Standard in der kommerziellen und Versicherungsbranche entwickelt hat, ist mit einer breiten Akzeptanz des Modells gemäß BOD 26-04 im privaten Sektor zu rechnen.

Was geschieht mit FedRAMP-Anbietern, die die Vorschriften nicht einhalten?

FedRAMP-autorisierte Cloud-Service-Anbieter müssen die neuen Regelwerke für die Erkennung und Reaktion auf Schwachstellen (VDR) sowie für die Bewertung und Meldung von Schwachstellen (VER) bis zum 7. Dezember 2026 anwenden. Nicht konforme Anbieter haben bis zum 7. März 2027 Zeit, im Rahmen eines Korrekturmaßnahmenplans einen solchen Plan umzusetzen, bevor sie den Verlust ihrer FedRAMP-Autorisierung riskieren.

Was ist SSVC und in welchem Zusammenhang steht es mit BOD 26-04?

SSVC (Stakeholder-Specific Vulnerability Categorization) ist die Entscheidungsbaum-Methodik der CISA zur Bewertung von Schwachstellenrisiken anhand des Kontextes anstatt eines einzelnen Schweregrads. Das Vier-Faktoren-Modell von BOD 26-04 basiert auf den SSVC-Prinzipien und ersetzt die CVSS-zentrierte Priorisierung.