Fix CISA access and publish scanner recovery/status events

docker-security/README.md

@@ -110,7 +110,8 @@ erneut. Die komplette aktuelle relevante Inventarliste bleibt lokal verfuegbar.
 | `docker_security_review` / 110801 | Neuer/geaenderter High-/Critical-Fund zur Pruefung | 4 |
 | `docker_security_kev` / 110802 | Erkannter Fund einer CVE in CISA KEV; priorisiert pruefen/mitigieren | 12 |
 | `docker_security_health` / 110803 | Neue/geaenderte Scanner-Probleme | 7 |
-| 110804 / 110805 | Fund verschwunden/ausserhalb Umfang oder Scanner erholt | 0 |
+| 110804 / 110805 | Fund verschwunden/ausserhalb Umfang oder Scanner erholt; nur Inventarstatus | 3 |
+| 110806 | Status jedes abgeschlossenen Scans; nur Inventarstatus | 3 |
 
 **Discord wird nicht neu eingerichtet.** Bestehende Wazuh-Integrationen koennen
 je nach ihren Filtern bereits passende Level/Gruppen weiterleiten. Fuer Fabios
@@ -183,3 +184,16 @@ sie nicht. Ein laufender Scan wird durch den Timer-Stopp nicht beendet.
 - [Trivy Image-Quellen](https://trivy.dev/docs/latest/guide/target/container_image/)
 - [Aqua: Trivy-Vorfall Maerz 2026](https://www.aquasec.com/blog/trivy-supply-chain-attack-what-you-need-to-know/)
 - [CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
+
+## Katalogabruf und gezielte Benachrichtigungen
+
+Wenn die CISA-Webseite mit 403 antwortet, wird der offizielle Spiegel unter
+`github.com/cisagov/kev-data` genutzt. Anzahl, CVE-IDs und Veröffentlichungsdatum
+werden geprüft; ein über 14 Tage alter Spiegel wird abgelehnt. Der Cache gilt
+maximal sieben Tage als frisch. Ein fehlender Katalog bedeutet weiterhin
+„unbekannt“, nicht „keine Ausnutzung“.
+
+Scanner-Status, Behebungen und Erholungen werden als Level-3-Inventarereignisse
+indexiert. Diese Ereignisse sind keine Discord-Benachrichtigungen. Die optionale
+gezielte Prüfung in `actionable-security/` verarbeitet aktuelle
+OS-Schwachstellen sowie Image-Ereignisse und positive Malware-Erkennungen.