Im zweiten Schritt geht es darum, den Meldeprozess einzurichten. Dazu gehört die Wahl eines zentralen Meldekanals. Der CRA verlangt einen direkten Kontaktpunkt, schreibt aber nicht zwingend eine bestimmte technische Lösung vor. Eine funktionale E-Mail-Adresse kann die Mindestanforderung erfüllen. Wer sich an der technischen Richtlinie des BSI orientiert, sollte jedoch mehrere Kontaktmöglichkeiten vorsehen, zum Beispiel einen E-Mail-Kontakt für das PSIRT, einen Kontakt für das CSIRT und zusätzlich ein Webformular. Die Erreichbarkeit muss gewährleistet sein. Es braucht Verantwortliche und Stellvertretungen, die den Meldekanal überwachen, sowie klare Zuständigkeiten für Product Security und Incident Response. Auch das Management sollte eingebunden werden. In diesem Schritt muss außerdem geklärt werden, wann die 24-Stunden-Frist beginnt, was konkret als aktiv ausgenutzte Schwachstelle oder schwerwiegender Sicherheitsvorfall gilt und wer letztlich über eine Meldung entscheidet. Der dritte Schritt besteht schließlich darin, sobald der Meldeprozess definiert ist, einen Testlauf zu starten. Man simuliert etwa eine ausgenutzte Schwachstelle, nutzt den bereitgestellten Kanal und prüft, wie der Ablauf funktioniert und wo nachgeschärft werden muss.
