CRA-Meldungen seit September 2026: Auslöser, Fristen und die Single Reporting Platform

Worum es geht

Stand: 25. Oktober 2026. Artikel 14 der Verordnung (EU) 2024/2847, des Cyber Resilience Act (CRA), gilt für Hersteller seit dem 11. September 2026. Vor der Anwendung eines Meldeverfahrens die Verordnung, die Meldehinweise der Kommission und die Plattformanweisungen von ENISA erneut prüfen. Diese Zusammenfassung erläutert die veröffentlichten Regeln; sie ist keine Rechtsberatung.

Zwei Auslöser begründen eine Meldepflicht: eine aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen und ein schwerwiegender Vorfall, der die Sicherheit dieses Produkts beeinträchtigt. Artikel 3(42) verlangt zuverlässige Beweise für eine böswillige Ausnutzung ohne Erlaubnis des Systemeigentümers. Artikel 14(5) erfasst tatsächliche oder mögliche Beeinträchtigungen des Schutzes sensibler oder wichtiger Daten oder Funktionen sowie das Einbringen oder Ausführen von Schadcode im Produkt oder in den Systemen eines Nutzers. Dies sind unterschiedliche Prüfkriterien. Verordnung, Artikel 3 und 14.

Warum es wichtig ist

ENISA gab den Start der Single Reporting Platform (SRP) am 11. September 2026 bekannt. Sie leitet Meldungen an das benannte koordinierende Computer Security Incident Response Team (CSIRT) und ENISA weiter. Das empfangende CSIRT verteilt Informationen an die zuständigen nationalen Stellen, vorbehaltlich der in der Verordnung vorgesehenen Ausnahmen für eine verzögerte Weitergabe. ENISA-Mitteilung zum Start.

Die ersten Fristen beginnen mit der Kenntnisnahme, nicht mit der Freigabe durch die Geschäftsleitung oder dem Abschluss einer Untersuchung. Artikel 69(3) unterstellt auch erfasste Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, der Meldepflicht nach Artikel 14. Dass die meisten CRA-Anforderungen erst später gelten, verschiebt diese Pflicht nicht. Verordnung, Artikel 14, 69 und 71.

So wird es angewendet

• Kenntnisnahme dokumentieren und das Ereignis einordnen. Die Beweise sichern, die eine aktive Ausnutzung oder die Kriterien für die Schwere des Vorfalls belegen. Der Fund einer Schwachstelle allein belegt keine böswillige Ausnutzung.
• Die Frühwarnung unverzüglich, spätestens innerhalb von 24 Stunden übermitteln. Gegebenenfalls die Mitgliedstaaten nennen, in denen das Produkt bekanntermassen verfügbar ist. Bei einem Vorfall zusätzlich angeben, ob rechtswidrige oder böswillige Aktivitäten vermutet werden.
• Die nächste Meldung unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnisnahme übermitteln. Soweit noch nicht übermittelt, die verfügbaren Produkt- oder Vorfallinformationen, die relevante Bewertung, bereits getroffene Eindämmungsmassnahmen und mögliche Massnahmen der Nutzer aufnehmen. Gegebenenfalls die Vertraulichkeit kennzeichnen.
• Den richtigen Fristbeginn für den Abschlussbericht verwenden. Bei einer Schwachstelle beträgt die Frist 14 Tage ab Verfügbarkeit einer Korrektur- oder Eindämmungsmassnahme. Schweregrad, Auswirkungen, verfügbare Informationen über böswillige Akteure und Einzelheiten zur Behebung aufnehmen. Bei einem schwerwiegenden Vorfall beträgt die Frist einen Monat ab Übermittlung der Vorfallmeldung der 72-Stunden-Stufe; Schweregrad, Auswirkungen, wahrscheinliche Bedrohung oder Ursache sowie umgesetzte oder laufende Eindämmungsmassnahmen aufnehmen. Dies sind die getrennten Regeln in Artikel 14(2) und (4), die auch die Kommission zusammenfasst.
• Das koordinierende CSIRT nach Artikel 14(7) auswählen. Üblicherweise richtet sich dies nach der Hauptniederlassung des Herstellers in der EU. Hersteller ohne eine solche Niederlassung wenden die Kriterien dieses Absatzes in der vorgegebenen Reihenfolge an. Übermittlungsbestätigungen und Nachfragen aufbewahren.
• Betroffene Nutzer informieren. Artikel 14(8) verlangt gesondert Informationen über die Schwachstelle oder den Vorfall und, soweit erforderlich, Schutz- oder Korrekturmassnahmen; eine Behördenmeldung ersetzt dies nicht.

Stolpersteine

Die 72 Stunden nicht ab Übermittlung der Frühwarnung und die 14 Tage nicht ab Entdeckung der Schwachstelle zählen. Die am 15. Oktober 2026 aktualisierte FAQ von ENISA warnt davor, dass die aktuellen Zeitzähler der Plattform von den gesetzlichen Fristen abweichen können. Eine unabhängige Fristenübersicht führen; Erinnerungen ersetzen nicht die Verantwortung des Herstellers. ENISA-SRP-FAQ, Frage 26.