CRA-Meldepflichten starten heute – Was Hersteller jetzt wissen müssen

Ab dem 11. September 2026 gelten die ersten Pflichten des europäischen Cyber Resilience Act (CRA), die die Hersteller von Produkten mit digitalen Elementen direkt treffen. Ab heute müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb strikter Fristen an die EU-Cybersicherheitsagentur ENISA und die nationalen CSIRT-Koordinationsstellen melden.

Welche Produkte sind betroffen?

Die Meldepflichten nach Artikel 14 CRA treffen alle Hersteller, die Hardware- oder Softwareprodukte mit direkter oder indirekter Netzwerk- oder Datenverbindung auf dem EU-Binnenmarkt bereitstellen. Wichtig: die Meldepflichten treffen auch alle Produkte mit digitalen Elementen, die bereits auf dem Markt bereitgestellt wurden.

Was muss gemeldet werden?

Zwei Ereigniskategorien lösen die Meldepflicht aus:

• Aktiv ausgenutzte Schwachstellen: Es liegen belastbare Hinweise vor, dass eine Sicherheitslücke in realen Systemen tatsächlich ausgenutzt wird.
• Schwerwiegende Sicherheitsvorfälle: Vorfälle mit Auswirkungen auf die Produktsicherheit, etwa durch unbefugten Zugriff, Datenkompromittierung von sensiblen oder wichtigen Daten oder Funktionsbeeinträchtigung oder durch Einführung oder Ausführung von Schadcode.

Aber, nicht jede Schwachstelle und nicht jeder Sicherheitsvorfall sind meldepflichtig: Wichtig in der Praxis ist, zu erkennen, ob es sich tatsächlich um eine aktiv ausgenutzte Schwachstelle handelt (oder z.B. nur um eine ausnutzbare Schwachstelle) bzw. die Einordnung, ob es sich bei einem Sicherheitsvorfall, um einen schwerwiegenden (und nicht nur einfachen) Sicherheitsvorfall im Sinne des CRA handelt.

Die Meldung und Meldefristen

Meldungen erfolgen ausschließlich über die Single Reporting Platform (SRP) der ENISA unter portal.cra-srp.enisa.europa.eu. Von dort werden die Meldungen automatisiert an die zuständigen nationalen Stellen weitergeleitet – in Deutschland an das BSI und das koordinierende CSIRT. Weitere gesonderte Meldungen etwa an das koordinierende CSIRT sind für die Erfüllung der Meldepflichten dank der SRP also nicht erforderlich.

Der CRA sieht ein dreistufiges Meldeschema vor:

1. Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung (mit Angabe der betroffenen Mitgliedstaaten, bei schwerwiegenden Sicherheitsvorfällen Angaben, ob Verdacht auf böswillige oder rechtswidrige Handlungen besteht).
2. Detailmeldung innerhalb von 72 Stunden mit Informationen zum Produkt, zur Art der Ausnutzung bzw. des Vorfalls und zu ergriffenen Korrekturmaßnahmen.
3. Abschlussbericht – bei aktiv ausgenutzten Schwachstellen 14 Tage nach Verfügbarkeit eines Fixes, bei schwerwiegenden Vorfällen einen Monat nach der 72-Stunden-Meldung.

Was Hersteller jetzt tun müssen:

Wichtig ist, Incident-Response-Prozesse aufzusetzen oder an die neuen Anforderungen anzupassen. Laut Bitkom sind aktuell nur etwa 3 von 10 Unternehmen auf die CRA-Meldepflichten vorbereitet. Empfohlene Sofortmaßnahmen:

• Designierter Kanal für den Eingang von Incident-Meldungen und Verteilungs- bzw. Eskalationsplan zu den verantwortlichen Ansprechpartnern
• Benennung von verantwortlichen Ansprechpartnern für CRA-Meldungen (technische Bewertung, rechtliche Bewertung, ob es sich um eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall handelt)
• Benennung und Registrierung von Assigned Representatives (Primary und Secondary(ies)) auf der Single Reporting Platform der ENISA, die die Meldung innerhalb der oben genannten Fristen ausführen können

Weitere Informationen zur Vorbereitung der Meldungen finden Sie hier:

https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp