01Was gemeldet werden muss
Art. 14 der Cyber Resilience Act schafft zwei Meldepflichten für Hersteller von Produkten mit digitalen Elementen. Sie sind enger gefasst, als sie zunächst erscheinen: Routinefehler und gewöhnliche Patches fallen nicht darunter. Art. 14
- Aktiv ausgenutzte Schwachstellen; eine Schwachstelle in Ihrem Produkt, für die verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Erlaubnis des Eigentümers ausgenutzt hat. Eine Schwachstelle, die Sie entdecken und beheben, bevor sie ausgenutzt wird, wird über Ihren normalen Schwachstellenmanagementprozess, nicht über diesen Meldekanal.
- Schwerwiegende Vorfälle; ein Vorfall, der die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Funktionen zu schützen, beeinträchtigt oder beeinträchtigen kann. Die Schwerekriterien finden sich in Artikel 14(5).
Die Pflichten sind nicht auf kommerzielle Hersteller beschränkt. Verantwortliche für Open-Source-Software tragen eigene Meldepflichten, soweit sie mit Produkten mit digitalen Elementen befasst sind. Art. 24(3)
Wenn eine Sicherheitsschwäche in Ihrem Produkt aktiv ausgenutzt wird oder ein Sicherheitsvorfall es schwerwiegend beeinträchtigt hat, beginnt die Frist gemäß Art. 14. Alles andere verbleibt in Ihrem täglichen Schwachstellenmanagement.
Eine Schwachstelle, deren aktive Ausnutzung Ihnen bereits bekannt war, bevor die Meldepflicht zu greifen beginnt, nämlich am 11. September 2026, muss nicht gemeldet werden. Die Pflicht knüpft an den Zeitpunkt an, zu dem Sie Kenntnis erlangen, sodass sie erfasst, was Sie ab diesem Datum erfahren, und nichts, was weiter zurückliegt.
Das ist der Punkt, an dem viele hängen bleiben, und es lohnt sich, hier genau zu sein. Artikel 69(2) legt die allgemeine Übergangsregel fest: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, fallen nur dann unter die Verordnung, wenn sie ab diesem Datum wesentlich verändert werden. Für sich genommen legt das nahe, dass Ihr bestehender Produktkatalog unberührt bleibt.
Artikel 69(3) nimmt Artikel 14 sodann unmittelbar wieder davon aus. Durch ausdrückliche Ausnahmeregelung gelten die Meldepflichten für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unabhängig davon, ob sie jemals verändert werden.
Die beiden Regeln verlaufen also auf unterschiedlichen Achsen. Ein Produkt, das Sie 2025 verkauft haben, benötigt unter dem CRA möglicherweise nie eine CE-Kennzeichnung; wird jedoch eine Schwachstelle darin aktiv ausgenutzt und erlangen Sie davon am oder nach dem 11. September 2026 Kenntnis, ist sie meldepflichtig. Ihr installierter Bestand fällt in den Anwendungsbereich der Meldepflicht selbst dann, wenn er außerhalb des Anwendungsbereichs der Produktanforderungen liegt. Die Kommission gelangt in Abschnitt 5.3 ihrer FAQs zur CRA-Umsetzung zum selben Ergebnis. Art. 69(2)–(3)
02Die drei Fristen
Jede Meldung gliedert sich in drei Phasen, gemessen ab dem Zeitpunkt, zu dem Sie Kenntnis erlangen der ausgenutzten Schwachstelle oder des schwerwiegenden Vorfalls. Die Fristen sind eng, weshalb Vorbereitung entscheidend ist. Art. 14(2)–(4)
- Innerhalb von 24 Std.Frühwarnung. Eine erste Benachrichtigung darüber, dass eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall aufgetreten ist, bei Vorfällen einschließlich der Angabe, ob vermutet wird, dass dieser durch rechtswidrige oder böswillige Handlungen verursacht wurde.
- Innerhalb von 72 Std.Schwachstellen- / Vorfallsmeldung. Ein ausführlicherer Bericht: die allgemeine Art der Schwachstelle und des Exploits, eine erste Bewertung sowie die ergriffenen Korrektur- oder Minderungsmaßnahmen und diejenigen, die Nutzer ergreifen können.
- AbschlussberichtAbschlussbericht. Bei einer Schwachstelle, spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme. Bei einem schwerwiegenden Vorfall, innerhalb eines Monats nach der 72-Stunden-Meldung. Er enthält die vollständige Beschreibung, den Schweregrad, die Auswirkungen und die durchgeführte Behebung.
Beachten Sie die Asymmetrie in der letzten Zeile: Bei der Schwachstelle wird die Frist durch das Vorliegen einer Behebung ausgelöst, beim Vorfall durch die frühere Meldung. Es sind unterschiedliche Mechanismen, die Sie in Ihrem Runbook getrennt festhalten sollten.
03Wann es beginnt
Die Meldepflichten sind der erste wesentliche Teil des CRA, der in Kraft tritt. Während die meisten Bestimmungen ab dem 11. Dezember 2027 gelten, gilt Art. 14 ab 11. September 2026; 21 Monate nach Inkrafttreten der Verordnung. Die ENISA hat vorgesehen, dass die Einheitliche Meldeplattform bis zu demselben Datum betriebsbereit ist. Art. 71
Die Plattform ist noch nicht in Betrieb und ihre öffentliche URL wurde noch nicht veröffentlicht. Die ENISA gibt an, dass diese vor der Inbetriebnahme auf ihrer Seite zur Einheitlichen Meldeplattform bekannt gegeben wird. Zuvor stehen Nutzer- und Sicherheitstests an, an denen das CSIRTs-Netzwerk beteiligt ist.
Die ENISA hat allerdings ein Factsheet, eine erweiterte FAQ und zwei schrittweise Anleitungsseiten zu Registrierung und Meldungseinreichung veröffentlicht, sämtlich zuletzt aktualisiert am 31. Juli 2026. Kurze Anleitungsvideos und ein Webinar zwei Wochen vor der Inbetriebnahme stehen noch aus. Die ENISA weist darauf hin, dass die veröffentlichten Leitfäden Änderungen unterliegen.
Zwei weitere Bausteine stehen noch aus: die Liste der als Koordinatoren benannten nationalen CSIRTs, die die ENISA nach eigenen Angaben zu einem späteren Zeitpunkt bereitstellen wird, sowie harmonisierte Normen zur Schwachstellenbehandlung, die um den 30. August 2026 erwartet werden und noch nicht im Amtsblatt zitiert sind.
Anders als die CE-Kennzeichnung, die Sie einmalig vor dem Inverkehrbringen eines Produkts abschließen, ist die Meldung eine fortlaufende, aktive Verpflichtung, die im September 2026 beginnt und jederzeit danach ausgelöst werden kann. Die Vorbereitung ist kein einmaliges Projekt. Bauen Sie den internen Erkennungs- und Meldeprozess jetzt auf; die Pflicht gilt ab dem 11. September 2026, unabhängig davon, ob die Werkzeuge fertig sind.
04An wen Sie melden
Meldungen gehen an ENISA und an den als Koordinator benanntes CSIRT, und zwar über eine einzige Anlaufstelle statt über gesonderte Einreichungen bei jeder nationalen Behörde. Diese Anlaufstelle ist die Einheitliche Meldeplattform, die die ENISA gemäß Artikel 16 einrichtet, verwaltet und betreibt. Art. 14 · 16
Welches CSIRT für Sie zuständig ist, richtet sich nach Ihrer Hauptniederlassung in der Union oder, sofern Sie nicht in der EU niedergelassen sind, nach der Ihres Bevollmächtigten. Das empfangende CSIRT leitet die Meldung an die CSIRTs in den Mitgliedstaaten weiter, in denen das Produkt verfügbar ist, sowie erforderlichenfalls an die Marktüberwachungsbehörden. Art. 14(7) · 18
Unterstützung gibt es auf beiden Seiten. ENISA betreibt einen Helpdesk mit besonderem Augenmerk auf KMU, und die als Koordinatoren benannten CSIRTs müssen ebenfalls Helpdesk-Unterstützung zu den Pflichten nach Artikel 14 bereitstellen. Die ENISA übermittelt behobene Schwachstellen zudem an die Europäische Schwachstellendatenbank, und veröffentlicht alle zwei Jahre einen technischen Trendbericht; der erste ist innerhalb von 24 Monaten nach Beginn der Meldepflichten fällig. Art. 17(6)
Die Weitergabe einer gemeldeten Schwachstelle kann vom CSIRT ausgesetzt werden, nicht aber von Ihnen
Das empfangende CSIRT kann die Weitergabe aus gerechtfertigten Cybersicherheitsgründen für einen unbedingt erforderlichen Zeitraum verzögern oder zurückhalten; etwa wenn sich eine Schwachstelle in einem Verfahren zur koordinierten Offenlegung befindet. Die Kommission hat die Bedingungen in einem delegierten Rechtsakt festgelegt, der angenommen wurde am 11. Dezember 2025. Hält ein CSIRT eine Meldung zurück, muss es dies der ENISA unverzüglich mitteilen, mit einer Begründung und einem Hinweis darauf, wann es die Weitergabe vornehmen wird.
Gesondert davon können Sie unter besonders außergewöhnlichen Umständen eine der eng gefassten Bedingungen in Artikel 16(2) in Ihrer 72-Stunden-Meldung markieren: dass die Ausnutzung auf den Mitgliedstaat Ihres CSIRT beschränkt ist, dass eine weitere Verbreitung den wesentlichen Interessen dieses Mitgliedstaats zuwiderliefe oder dass die Weitergabe ein unmittelbar bevorstehendes hohes Cybersicherheitsrisiko birgt. Tun Sie dies, erhält die ENISA nur begrenzte Informationen (dass eine Meldung erfolgt ist, allgemeine Angaben zum Produkt, die allgemeine Art des Exploits und dass Sicherheitsgründe geltend gemacht wurden), bis das CSIRT die vollständige Meldung freigibt.
Keiner der beiden Mechanismen hält Ihre Frist an. Nicht verzögern können Sie die Einreichung; die Fristen von 24 Stunden, 72 Stunden und für den Abschlussbericht laufen ab Kenntniserlangung. Was Sie tun können, ist, Vertraulichkeit zu kennzeichnen, was einschränkt, wer den Inhalt sieht. Die Entscheidung, die Weitergabe zurückzuhalten, liegt beim empfangenden CSIRT.
05Registrierung auf der Plattform
Der Leitfaden der ENISA vom 31. Juli 2026 ist das erste Material, das die tatsächlichen Bildschirmmasken zeigt. Auf der Plattform selbst können Sie sich erst registrieren, wenn sie in Betrieb geht; Sie können aber schon jetzt entscheiden, wer die Konten führt, und deren Zugangsdaten vorbereiten, und Sie sollten den Ablauf kennen, bevor Sie ihm unter einer 24-Stunden-Frist begegnen.
Benennen Sie zwei Personen, bevor Sie sie brauchen
Die Plattform gibt jedem Hersteller zwei Arten von Benutzerkonten, und Sie können schon heute entscheiden, wer sie besetzt. Ein primärer Vertreter registriert sich zuerst und legt den Eintrag des Herstellers auf der Plattform an. Diese Person versendet anschließend eine Einladung. Der sekundäre Vertreter, der eine Backup-Rolle beim selben Hersteller innehat, kann in dessen Namen einreichen. Beide sind namentlich benannte Personen in Ihrem Unternehmen. Da die Einreichung manuell erfolgt, ist ein einziger benannter Melder, der im Urlaub, schlafend oder ausgeschieden ist, ein reales operatives Risiko; behandeln Sie den zweiten Platz daher als notwendig und nicht als optional.
EU Login ist das Zugangsmittel, und beide Personen können es schon heute anlegen
Plattformkonten authentifizieren sich über EU Login, den gemeinsamen Anmeldedienst der Europäischen Kommission, der in ihren Online-Systemen verwendet wird. Die ENISA gibt an, dass das Konto im Voraus angelegt werden kann, und dies ist das Nützlichste, was Sie derzeit tun können. Legen Sie je eines für den primären und für den sekundären Vertreter an unter ecas.ec.europa.eu, und zwar mit geschäftlichen E-Mail-Adressen, die es in einem Jahr noch geben wird. Auf ihren Seiten zur vertrauenswürdigen digitalen Identität erläutert die Kommission, was EU Login ist und wie es sich in ihren umfassenderen Identitätsrahmen einfügt.
Der Registrierungsablauf
Beim ersten Zugriff auf die Plattform wählen Sie Ihre Rolle, wählen Ihr benanntes CSIRT aus einer Auswahlliste, authentifizieren sich über EU Login, lesen und akzeptieren die rechtliche Vereinbarung, bestätigen Ihre vorausgefüllten persönlichen Angaben (Vorname, Nachname, E-Mail, Firmenname) und geben anschließend Name, Anschrift und weitere Angaben des Herstellers ein. Das Auslassen eines Pflichtfelds zum Hersteller blockiert den Ablauf. Nach Abschluss wird Ihr Konto in der Rolle "AR Active" aktiv, Sie erhalten eine Bestätigungs-E-Mail, und der Herstellereintrag wird in der Plattform angelegt.
Der sekundäre Vertreter tritt per E-Mail-Einladung des primären Vertreters bei, bestätigt die vorausgefüllten persönlichen Angaben und Herstellerangaben und wird als Backup-Nutzer beim selben Hersteller registriert. Diese Einladung verfällt nach 7 Tagen, danach wird der Datensatz als "Invitation Expired" gekennzeichnet und es muss eine neue versandt werden. Richten Sie die Vertretung in derselben Sitzung ein wie den primären Vertreter; eine abgelaufene Einladung, die mitten in einem Vorfall entdeckt wird, ist ein vermeidbares Problem.
Das CSIRT prüft Ihren Vertreter manuell, das hindert Sie aber nicht an der Einreichung
Jemand muss bestätigen, dass eine bestimmte Person tatsächlich im Namen eines bestimmten Herstellers melden darf, und diese Prüfung obliegt dem als Koordinator benannten CSIRT. Es ist ein manueller Schritt, das Verfahren unterscheidet sich zwischen den CSIRTs, und jedes CSIRT bestimmt seinen eigenen Ansatz. Entscheidend ist: Sie erfolgt nach Ihrem ersten Zugriff auf die Plattform und läuft parallel zu Ihrer Meldung: Die ENISA erklärt, dass die Validierung Ihre Fähigkeit, Meldungen einzureichen, nicht beeinträchtigt. Ein nicht validiertes Konto kann weiterhin innerhalb des 24-Stunden-Fensters einreichen.
Aus demselben Grund rät die ENISA dazu, sich erst dann zu registrieren und die Validierung zu starten, wenn Sie tatsächlich einreichen müssen, statt den gesamten Markt vorab zu registrieren und die CSIRTs mit spekulativen Prüfungen zu überhäufen. Die Vorbereitung, die Sie im Voraus leisten, besteht in den Konten für EU Login und in der Entscheidung, wer die beiden Plätze besetzt, nicht in der Registrierung auf der Plattform selbst.
Der Leitfaden der ENISA ist für „Assigned Representatives“ (AR) mit primären Nutzern und Backup-Nutzern geschrieben. Das ist eine Rolle für ein Plattformkonto. Es handelt sich nicht um den Bevollmächtigten mit schriftlichem Mandat nach Artikel 18 des CRA. Sie können Ersteres ohne Letzteres haben. Halten Sie beides in Ihrem internen Verfahren auseinander, sonst diskutieren Sie am Ende über eine rechtliche Bestellung, obwohl Sie lediglich einen zweiten Zugang benötigen.
06Eine Meldung einreichen
Die Meldung erfolgt über ein Dashboard. Sie legen eine Meldung an und ergänzen dann in jeder Phase denselben Datensatz, statt drei separate Vorgänge einzureichen. Jede Phase hat einen eigenen Reiter, und jede kann zunächst als Entwurf gespeichert werden; Entwürfe sind nur für Sie sichtbar.
- FrühwarnungLegen Sie über das Dashboard eine neue Meldung an, füllen Sie die Pflichtfelder aus und wählen Sie einen bestehenden Hersteller aus oder fügen Sie einen hinzu. Bei der Übermittlung geht sie an Ihr benanntes CSIRT und automatisch an die ENISA. Bestätigungen per E-Mail und Alarm gehen an Sie, das CSIRT und die ENISA.
- 72 StundenErst verfügbar, wenn eine Frühwarnung vorliegt. Öffnen Sie dieselbe Meldung und füllen Sie den 72-Stunden-Reiter aus. Die ENISA erhält sie automatisch, außer wenn Sie die Bedingungen des Artikels 16(2) geltend machen; in diesem Fall wird der Datensatz gekennzeichnet und die Einsicht der ENISA bleibt beschränkt, bis das CSIRT ihn freigibt.
- AbschlussberichtErst verfügbar, wenn beide vorherigen Phasen vorliegen. Andere betroffene CSIRTs erhalten den Abschlussbericht erst, nachdem Ihr koordinierendes CSIRT ihn manuell weitergegeben hat.
Was verpflichtend ist, und wann
Die ENISA hat veröffentlicht, welche Felder in welcher Phase verpflichtend sind. Die Tabelle korrigiert eine weit verbreitete Annahme: Die 24-Stunden-Frühwarnung ist eine Warnmeldung, keine Untersuchung.
- Nach 24 Stunden; Meldungsart und -stufe, Name des Herstellers oder Verantwortlichen, das Produkt und ein Titel. Bei Vorfällen, ob rechtswidrige oder böswillige Handlungen vermutet werden. Die Mitgliedstaaten, in denen das Produkt verfügbar ist, sind nur erforderlich, soweit Ihnen diese Angabe bereits vorliegt.
- Nach 72 Stunden; die allgemeine Art der Schwachstelle und des Exploits, ergriffene Korrektur- oder Minderungsmaßnahmen sowie Maßnahmen, die Nutzer ergreifen können. Bei Vorfällen, wann er entdeckt wurde und wann er eingetreten ist, zuzüglich einer ersten Bewertung. Die Vertraulichkeit wird hier gekennzeichnet.
- Im Abschlussbericht; die vollständige Beschreibung, der Schweregrad und die Auswirkungen, das Datum, an dem eine Korrekturmaßnahme verfügbar wurde, und Einzelheiten zum Sicherheitsupdate. Bei Vorfällen die wahrscheinliche Grundursache und laufende Minderungsmaßnahmen.
Optionale Felder, die dennoch erfasst werden sollten, sind die CVE ID und der EUVD ID, beide ab der ersten Phase verfügbar.
Bearbeiten, und der Punkt ohne Wiederkehr
Eine übermittelte Meldung kann aktualisiert werden, und die Plattform benachrichtigt automatisch Ihr CSIRT sowie die ENISA und alle CSIRTs, die sie bereits über die Weitergabe erhalten haben. Es gelten zwei Grenzen: Eine geschlossene Meldung kann nicht aktualisiert werden, und der Datensatz wird nach Übermittlung des Abschlussberichts nicht mehr bearbeitbar.
Die ENISA erklärt, dass in dieser Phase keine Anwendungsprogrammierschnittstelle bereitgestellt wird. Sie können Erkennung, Triage und Entwurf intern automatisieren, die Einreichung selbst ist jedoch eine Person, die ein Browser-Formular ausfüllt. Planen Sie diese Übergabe bewusst und stellen Sie sicher, dass mehr als eine Person sie außerhalb der Geschäftszeiten und am Wochenende ausführen kann.
Die Plattform nimmt außerdem freiwillige Meldungen zu Schwachstellen, Cyberbedrohungen, Vorfällen und Beinahe-Vorfällen entgegen, und zwar von jeder natürlichen oder juristischen Person und nicht nur von Herstellern. Die ENISA gibt an, dass diese Funktion erst nach dem 11. September 2026 freigeschaltet wird; sie ist daher kein Weg zu einem risikoarmen Probelauf vor Fristablauf.
07Was Sie heute tun können
Ein 24-Stunden-Fenster einzuhalten ist ein operatives und kein bürokratisches Problem, und nahezu die gesamte Vorbereitung ist bereits jetzt möglich. Nichts von dem Folgenden hängt davon ab, dass die Plattform in Betrieb ist.
- Legen Sie Ihre Konten für EU Login an. Für den primären Melder und mindestens eine Vertretung. Es dauert nur Minuten unter ecas.ec.europa.eu und erspart Ihnen einen Schritt, den Sie nicht mitten in einem Vorfall entdecken möchten.
- Bestimmen Sie Ihr benanntes CSIRT. Es richtet sich nach Ihrer Hauptniederlassung in der Union oder nach der Ihres Bevollmächtigten, wenn Sie außerhalb der EU niedergelassen sind. Die vollständige Liste der Koordinatoren der ENISA steht noch aus; halten Sie Ihre Begründung daher jetzt fest und gleichen Sie sie mit der Liste ab, sobald diese erscheint.
- Bauen Sie das 24-Stunden-Formular intern auf. Eine kurze Vorlage, die den Pflichtfeldern der ENISA für die Frühwarnung entspricht, damit Ihre erste echte Einreichung eine Übertragung und keine Textarbeit ist.
- Benennen Sie die Personen, auch außerhalb der Geschäftszeiten. Legen Sie fest, wer beurteilt, ob eine Meldung fällig ist, wer sie verfasst und wer sie einreicht. Da es keine API gibt, ist der letzte Schritt ein namentlich benannter Mensch an einer Tastatur.
- Führen Sie eine genaue SBOM. Sie können keine Komponente melden, von der Sie nicht wussten, dass Sie sie ausgeliefert haben. Führen Sie eine Software-Stückliste und halten Sie diese aktuell, wenn sich Versionen ändern.
- Überwachen Sie sie kontinuierlich. Gleichen Sie Ihre Komponenten mit Quellen bekannter Schwachstellen ab, damit eine aktiv ausgenutzte Schwachstelle innerhalb von Stunden und nicht Wochen sichtbar wird. Unser SBOM- und Schwachstellenanalysator gleicht Ihre Stückliste mit der NVD und der EU-Schwachstellendatenbank (EUVD) ab.
- Klären Sie, was tatsächlich in den Anwendungsbereich fällt. Die 72-Stunden-Phase fragt nach Produkttyp und der Kategorie nach Anhang III oder IV; klären Sie die Einstufung daher, bevor Sie sie benötigen. Das Klassifizierungswerkzeug beantwortet dies, und die Konformitätsmatrix verknüpft die Meldung mit den übergeordneten Schwachstellenmanagementpflichten gemäß Anhang I, in die sie eingebettet ist.
- Notieren Sie das Webinar. Die ENISA beabsichtigt, zwei Wochen vor Inbetriebnahme der Plattform eines abzuhalten und kurz vor dem Start kurze Anleitungsvideos zu veröffentlichen.
08Verfolgen Sie es an der Quelle
Diese Seite entspricht dem Stand vom 6. August 2026. Die Plattform ist weiterhin in Bewegung, und die ENISA bearbeitet ihre Seiten still, statt jede Änderung anzukündigen; die Vermerke „zuletzt aktualisiert“ auf den unten genannten Seiten sollten Sie daher direkt prüfen. Dies sind die Primärquellen; alles Vorstehende ist unsere Lesart davon.
- ENISA · Einheitliche Meldeplattform; die Hub-Seite, mit dem Factsheet und einer ausführlichen FAQ zu Rechtsgrundlage, Fristen, Weiterleitung, Feldtabelle und Plattformsicherheit. Dort wird die öffentliche URL bekannt gegeben.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
- ENISA · Leitfaden zur SRP-Nutzerregistrierung; der schrittweise Registrierungsablauf für primäre und Backup-Nutzer, mit Screenshots der Oberfläche.enisa.europa.eu/cra-srp-ar-user-registration
- ENISA · Leitfaden zur SRP-Meldungseinreichung; wie Frühwarnung, 72-Stunden-Meldung und Abschlussbericht eingereicht und aktualisiert werden und was jeder Status auslöst.enisa.europa.eu/cra-srp-ar-notification-submission-and-update
- Europäische Kommission · CRA-Meldepflichten; die Policy-Seite, einschließlich der FAQs zur CRA-Umsetzung, deren Abschnitt 5 die Meldung behandelt.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Europäische Kommission · CRA-Anwendungsleitfaden (27. Juli 2026); Punkt 9.1 legt die Meldepflichten von Herstellern und Open-Source-Verantwortlichen dar. Unsere Zusammenfassung des Leitfadens deckt den Rest ab.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; erstellen Sie das Konto, das die Plattform verwenden wird. Tun Sie das jetzt.ecas.ec.europa.eu/cas/login
Für den verbindlichen Wortlaut: Die Artikel 14 bis 17 beschreiben das Meldeökosystem, und Artikel 16 richtet die Plattform ein; lesen Sie sie in unserer Lesefassung der Verordnung. Meilensteintermine werden auf der Seite Stand der Dinge nachverfolgt.
09Häufige Fragen
Was muss ich gemäß dem CRA melden und wie schnell?
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit Ihres Produkts beeinträchtigen. Eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen nach Verfügbarkeit einer Korrekturmaßnahme bei einer Schwachstelle beziehungsweise innerhalb eines Monats nach der 72-Stunden-Meldung bei einem schwerwiegenden Vorfall. Art. 14
Wann beginnen die Meldepflichten?
11. September 2026; 21 Monate nach Inkrafttreten der Verordnung und weit vor der vollständigen Anwendung am 11. Dezember 2027.
An wen melde ich?
Die ENISA und das als Koordinator benannte nationale CSIRT, über die nach Artikel 16 eingerichtete einheitliche Meldeplattform. Ihr CSIRT richtet sich nach Ihrer Hauptniederlassung in der Union oder nach der Ihres Bevollmächtigten, wenn Sie nicht in der EU niedergelassen sind.
Muss ich jeden Fehler oder jede Schwachstelle melden?
Nein. Nur aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle sind meldepflichtig. Schwachstellen, die Sie vor der Ausnutzung finden und beheben, werden über Ihren gewöhnlichen Schwachstellenmanagementprozess abgewickelt.
Ist die einheitliche Meldeplattform von ENISA bereits verfügbar?
Nein, Stand 6. August 2026. Die Plattform ist nicht in Betrieb und ihre öffentliche URL wurde nicht veröffentlicht; die ENISA wird sie vor der Inbetriebnahme auf ihrer SRP-Seite bekannt geben. Sie soll bis zum 11. September 2026 betriebsbereit sein, mit vorherigen Nutzer- und Sicherheitstests.
Kann ich mich jetzt schon registrieren oder etwas vorbereiten?
Ja, und Sie sollten es tun. Legen Sie die Konten für EU Login an, die die Plattform verwenden wird, für einen primären Melder und eine Vertretung. Auf der Plattform selbst können Sie sich erst registrieren, wenn sie in Betrieb geht, und die ENISA rät dazu, die Registrierung auf der Plattform erst dann zu beginnen, wenn Sie tatsächlich einreichen müssen, weil das koordinierende CSIRT das Konto nach dem ersten Zugriff validiert und nicht davor. Diese Validierung hindert die Einreichung nicht.
Kann ich Meldungen über eine API einreichen?
Nein. Die ENISA erklärt, dass in dieser Phase keine Anwendungsprogrammierschnittstelle bereitgestellt wird. Sie können die interne Erkennung und den Entwurf automatisieren, die Einreichung ist jedoch eine Person, die ein Browser-Formular ausfüllt.
Was muss die 24-Stunden-Frühwarnung tatsächlich enthalten?
Weniger, als die meisten erwarten. Die Pflichtfelder sind Meldungsart und -stufe, der Name des Herstellers oder Verantwortlichen, das Produkt, ein Titel und bei Vorfällen die Angabe, ob rechtswidrige oder böswillige Handlungen vermutet werden. Die inhaltliche Analyse ist nach 72 Stunden fällig, nicht am ersten Tag.
Gibt es bereits ein Standardformat oder eine Vorlage für die Meldung?
Die Datenfelder sind veröffentlicht. Die FAQ der ENISA legt dar, welche Felder in den Phasen 24 Stunden, 72 Stunden und Abschlussbericht verpflichtend sind, sodass Sie schon heute eine passende interne Vorlage erstellen können. Die Kommission kann Format und Verfahren noch weiter durch Durchführungsrechtsakte festlegen.
Kann ich eine Meldung verzögern, wenn die Offenlegung riskant wäre?
Die Einreichung nicht. Die Fristen von 24 Stunden, 72 Stunden und für den Abschlussbericht laufen ab Kenntniserlangung, und nichts hält sie an. Sie können Vertraulichkeit kennzeichnen: Nach Artikel 16(2) können Sie eng gefasste Bedingungen markieren, die begrenzen, was die ENISA sieht, bis das CSIRT die vollständige Meldung freigibt. Die Entscheidung, die Weitergabe zu verzögern, liegt beim empfangenden CSIRT, auf Grundlage des am 11. Dezember 2025 angenommenen delegierten Rechtsakts.
Muss ich eine Ausnutzung melden, von der ich bereits vor September 2026 wusste?
Nein. Die Pflicht gilt, sobald Sie Kenntnis erlangen, und erstreckt sich nicht auf Schwachstellen, deren aktive Ausnutzung Ihnen bereits vor dem 11. September 2026 bekannt war.
Gilt die Meldepflicht auch für Produkte, die ich vor Jahren in Verkehr gebracht habe?
Ja. Artikel 69(2) besagt, dass Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, nur dann unter die Verordnung fallen, wenn sie ab diesem Datum wesentlich verändert werden; Artikel 69(3) weicht davon jedoch für Artikel 14 ausdrücklich ab: Die Meldepflichten gelten für alle erfassten Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, verändert oder nicht. Ein Produkt kann daher außerhalb des Anwendungsbereichs der Produktanforderungen des CRA liegen und dennoch der Meldepflicht unterfallen. Art. 69(2)–(3)
Gilt davon irgendetwas für Open-Source-Projekte?
Verantwortliche für Open-Source-Software haben Meldepflichten, soweit sie mit Produkten mit digitalen Elementen befasst sind, nach Artikel 24(3). Der Leitfaden der Kommission vom 27. Juli 2026 behandelt Open Source ausführlicher.
Wo bekomme ich Hilfe, wenn ich ein kleines Unternehmen bin?
Die ENISA betreibt einen Helpdesk mit besonderem Augenmerk auf KMU, und die als Koordinatoren benannten CSIRTs müssen ebenfalls Helpdesk-Unterstützung zu den Pflichten nach Artikel 14 bereitstellen. Die ENISA plant darüber hinaus Anleitungsvideos und ein Webinar zwei Wochen vor Inbetriebnahme der Plattform.