Am 11. September 2026 gilt Artikel 14 des Cyber Resilience Act (CRA), der Verordnung (EU) 2024/2847. Die Pflichten für das Produkt selbst folgen erst am 11. Dezember 2027.
Damit greift die erste CRA-Pflicht, die Hersteller im Tagesgeschäft trifft: Ab diesem Tag brauchen Sie einen funktionierenden Meldeweg, nicht erst ein konformes Produkt.
Zwei Ereignisse lösen die Meldepflicht aus. Erstens jede aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen, von der Sie Kenntnis erlangen; aktiv ausgenutzt heißt: Es gibt verlässliche Nachweise, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigners ausgenutzt hat. Zweitens jeder schwerwiegende Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt.
Gemeldet wird in drei Stufen: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, danach der Abschlussbericht. Die Fristen im Einzelnen und die Frage, was überhaupt meldepflichtig ist, behandeln eigene Artikel.
Gemeldet wird über die Plattform der ENISA
Die Meldung läuft über die Single Reporting Platform (SRP), also über die einheitliche Meldeplattform, die die ENISA nach Artikel 16 einrichtet und betreibt. Erreichbar sein soll sie ab dem 11. September 2026 unter portal.cra-srp.enisa.europa.eu.
Beim Einreichen wählen Sie das als Koordinator benannte CSIRT selbst aus, in der Regel nach Ihrer Hauptniederlassung in der Union. Die Meldung steht in aller Regel gleichzeitig der ENISA zur Verfügung. Das empfangende CSIRT verteilt sie an die CSIRTs der Mitgliedstaaten, in denen das Produkt verfügbar ist, und informiert die Marktüberwachungsbehörden. Wählen Sie das falsche CSIRT, kann die Meldung ungültig werden und Sie müssen sie neu einreichen.
Ohne Registrierung keine Meldung
Einreichen darf, wer sich zuvor als Assigned Representative (AR) registriert hat. Verwechseln Sie ihn nicht mit dem Bevollmächtigten (englisch authorised representative): Der AR ist ein Zugang zur Meldeplattform, der Bevollmächtigte ein schriftlicher Auftrag des Herstellers für bestimmte Aufgaben in seinem Namen. Dieselbe Person kann beides sein, muss es aber nicht.
Der AR meldet sich am Portal mit einem persönlichen EU-Login-Konto an, für das die Multi-Faktor-Authentifizierung aktiviert sein muss. Dieses Konto lässt sich vorab anlegen. Eine zusätzliche Authentifizierung des Unternehmens nutzt die Plattform derzeit nicht.
Je Hersteller gibt es genau einen Primary AR. Er registriert sich direkt, wählt das zuständige CSIRT, hinterlegt die Angaben zum Hersteller und verbindet sich mit dem Unternehmen. Bis zu 20 Secondary AR kommen per Einladung dazu und bestätigen die vorausgefüllten Angaben; einladen und entfernen darf sie der Primary AR. Den Ablauf beschreibt die ENISA in einer eigenen Anleitung zur AR-Registrierung.
Die Meldepflicht bindet das Unternehmen, der Zugang hängt an einer natürlichen Person. Wer sich das erst am Stichtag ansieht, klärt die Vertretung, während die 24-Stunden-Frist läuft. Urlaub, Krankheit und Ausscheiden der registrierten Personen gehören deshalb in den Meldeprozess.
Die ENISA rät, sich erst zu registrieren, wenn eine Meldung ansteht, damit die Prüflast der CSIRTs überschaubar bleibt. Das EU-Login und die Festlegung, wer im Ernstfall einreicht, können Sie vorher erledigen.
Was ENISA offenlässt
Die Zuordnung zwischen AR und Hersteller prüft das CSIRT erst nachgelagert. Solange sie läuft, darf ein nicht validierter AR bis zu 20 Meldungen je Hersteller einreichen. Verfahren und Bearbeitungszeit liegen beim jeweiligen CSIRT und können sich unterscheiden. Was mit bereits eingereichten Meldungen geschieht, wenn die Validierung danach scheitert, sagt die FAQ nicht.
Die Plattform startet nur auf Englisch. Angekündigt sind Übersetzungen des Factsheets und der Begleitmaterialien; weitere Sprachfassungen der Plattform selbst werden in der nächsten Projektphase geprüft. Die Frühwarnung binnen 24 Stunden ist damit auch eine Sprachfrage: Wer meldet, arbeitet unter Zeitdruck in einer englischsprachigen Maske.
Die Plattform setzt die Fälligkeit der 72-Stunden-Meldung auf 48 Stunden nach dem Absenden der Frühwarnung; die gesetzliche Frist läuft dagegen 72 Stunden ab Ihrer Kenntnis. Für den Abschlussbericht zu einer Schwachstelle gibt es gar keinen Zähler. Eine Meldung kann dort überfällig aussehen, obwohl noch Zeit bleibt; führen Sie die Fristenüberwachung deshalb selbst.
Zwischen dem 11. September 2026 und dem 11. Dezember 2027 liegen 15 Monate. In dieser Zeit melden Hersteller aktiv ausgenutzte Schwachstellen an Produkten, für die die grundlegenden Anforderungen aus Anhang I noch nicht gelten. Die Behörden sehen die Schwachstellen also, bevor die Anforderungen an Produkt und Schwachstellenbehandlung greifen.
Wo Sie weiterlesen
Drei Fragen streift dieser Beitrag nur. Wie eine konkrete Meldung abläuft, von der Bewertung bis zur Information der Nutzer, steht im Artikel zum CRA-Meldeprozess. Ob auch Produkte betroffen sind, die vor dem Geltungsbeginn in Verkehr gebracht wurden, behandeln wir bei den Meldepflichten für Bestandsprodukte. Welche Felder das Meldeformular je Stufe verlangt, führt das Glossar der ENISA auf.
Die FAQ der ENISA zur SRP wird laufend fortgeschrieben, zuletzt am 7. September 2026. Details zum Betrieb der Plattform können sich auch nach dem Start noch ändern.
Kommentar hinzufügen