Hersteller melden CRA-Vorfälle an ENISA vor dem CSIRT
5 Min. Lesezeit
Am 11. September 2026 beginnt für Hersteller von Produkten mit digitalen Elementen die Meldepflicht nach dem Cyber Resilience Act. Die EU-Agentur ENISA stellt dafür die Single Reporting Platform bereit. Die Zuordnung zum nationalen Computer-Notfallteam (CSIRT) darf parallel laufen und hält die 24-Stunden-Frist nicht auf.
Das Wichtigste in Kürze
- Die erste Stufe gilt am 11. September 2026. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Vorfälle mit Wirkung auf das Produkt melden.
- ENISA betreibt den Meldekanal. ENISA legt den Start der Single Reporting Platform auf denselben Tag. Die Adresse lautet portal.cra-srp.enisa.europa.eu.
- Der CSIRT prüft die Zuordnung parallel. Ein noch nicht geprüfter Vertreter darf bis zu 20 Meldungen abgeben.
- Die volle Produktpflicht kommt später. Die Meldepflicht für Open-Source-Verwalter und die vollständige Produktpflicht greifen am 11. Dezember 2027.
Verwandt:Cyber Resilience Act: Was Hersteller jetzt tun müssen / NIS-2-Registrierung: Was die Chefetage jetzt tun muss
Was ist die Single Reporting Platform? Die Single Reporting Platform ist die Meldeoberfläche der EU-Agentur ENISA. Darüber laufen aktiv ausgenutzte Schwachstellen und schwere Vorfälle in Produkten mit digitalen Elementen. Hersteller geben dort einmal ab. ENISA und der zuständige CSIRT erhalten denselben Vorgang.
Beginnt die Meldepflicht am 11. September 2026?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Stichtag zweimal öffentlich genannt. Am 26. Juni 2026 schrieb das BSI, eine erste Stufe des Cyber Resilience Act greife am 11. September 2026. Hersteller von Produkten mit digitalen Elementen müssen dann aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf das Produkt melden. Am 5. August 2026 wiederholte das Amt denselben Stichtag und stellte die vollständige Umsetzung aller Anforderungen auf den 11. Dezember 2027.
Die Meldung läuft zentral über die europäische Single Reporting Platform. Am 8. September 2026 hat ENISA die FAQ der Plattform aktualisiert. Der Betrieb ist auf denselben 11. September 2026 gelegt, an dem Artikel 14 der Verordnung anwendbar wird. Adresse, Anmeldung und die parallele CSIRT-Prüfung sind damit vor dem Start beschrieben.
Die Meldepflicht gilt unabhängig von den Produktanforderungen, die ab Dezember 2027 greifen. Eine eigene Kennzeichnung kommt dafür nicht: Nach Darstellung des BSI deckt das CE-Zeichen dann auch die Cybersicherheitsanforderungen ab. Ein Betrieb kann ein Gerät noch nach den alten Produktregeln ausliefern und trotzdem am 11. September 2026 eine 24-Stunden-Frist auslösen, sobald eine aktiv ausgenutzte Schwachstelle bekannt wird.
Router, Sensoren und Buchhaltungssoftware fallen unter dieselbe Pflicht
Die erste Stufe gilt für Hersteller von Produkten mit digitalen Elementen. Das BSI fasst darunter Hardware und Software, die direkt oder indirekt mit einem Gerät oder einem Netz verbunden werden können. Vernetzte Maschinensteuerungen, Sensoren mit Firmware, Router, Apps und Buchhaltungssoftware fallen in denselben Rahmen, sobald sie als Produkt in der Union bereitgestellt werden. Nichtkommerzielle Open-Source-Produkte bleiben ausgenommen.
Für Open-Source-Verwalter, die an der Bereitstellung solcher Produkte mitwirken, gilt die Meldepflicht laut ENISA erst ab dem 11. Dezember 2027. Freiwillige Meldungen zu Schwachstellen, Bedrohungen, Vorfällen und Beinahe-Vorfällen sollen in einer späteren Phase der Plattform kommen. Zum Start unterstützt die Oberfläche nur die Pflichtmeldungen nach Artikel 14: aktiv ausgenutzte Schwachstellen und schwere Vorfälle.
Eine Meldung reicht, auch wenn der Hersteller mehrere Niederlassungen in der Union hat oder der Sitz außerhalb der EU liegt. ENISA verlangt eine Meldung für den Hersteller insgesamt. Die Abstimmung zwischen Niederlassungen bleibt interne Sache. Der Vorgang geht an den CSIRT, der nach dem Ort der Hauptniederlassung als Koordinator gilt. Derselbe Vorgang steht gleichzeitig ENISA zur Verfügung. ENISA veröffentlicht die Liste der nationalen Koordinatoren getrennt von der Meldeoberfläche.
ENISA lässt 20 Meldungen vor der CSIRT-Prüfung zu
Die Plattform soll ab dem 11. September 2026 unter portal.cra-srp.enisa.europa.eu erreichbar sein; bis dahin beschreibt ENISA den Ablauf in ihren FAQ. Zugewiesene Vertreter brauchen ein persönliches EU-Login mit Mehrfaktor-Authentifizierung. Firmenkonten ohne namentlichen Vertreter sieht ENISA nicht vor. Pro Hersteller gibt es einen primären Vertreter und bis zu 20 sekundäre Vertreter. Nur der primäre Vertreter darf die Zuordnung zum Hersteller anlegen und weitere Vertreter einladen.
Die Zuordnung prüft der CSIRT als Koordinator, ohne die Meldung aufzuhalten. Erst nach 20 Meldungen eines noch nicht geprüften Vertreters verlangt ENISA die abgeschlossene Validierung. ENISA will die Registrierung auf der Plattform erst bei einer anstehenden Meldung, sofern das EU-Login existiert. Die Agentur schreibt, die Registrierung dauere wenige Minuten, wenn das Konto steht.
Die Frist beginnt mit der Kenntnis des Herstellers, eine Behördenbestätigung ist dafür nicht nötig. Die Fristen stehen in der ENISA-FAQ zur Single Reporting Platform vom 8. September 2026.
| Schritt | Frist nach Kenntnis | Inhalt |
|---|---|---|
| Early Warning | 24 Stunden | Erstmeldung der aktiv ausgenutzten Schwachstelle oder des schweren Vorfalls |
| Notification | 72 Stunden | Allgemeine Angaben und erste Bewertung |
| Abschluss Schwachstelle | 14 Tage nach Korrektur | Abschlussbericht, sobald eine Korrekturmaßnahme vorliegt |
| Abschluss Vorfall | ein Monat nach der 72-Stunden-Meldung | Abschlussbericht zum schweren Vorfall |
Quelle: ENISA-FAQ zur Single Reporting Platform, Stand 8. September 2026.
Ein Plattformausfall hebt die 24-Stunden-Frist nicht auf
ENISA schreibt, Hersteller sollen bei vorübergehender Unerreichbarkeit warten. Sobald die Oberfläche wieder da ist, folgt die Meldung. Ein Ausfall ersetzt die Pflicht nicht. Ein Hersteller ohne Konto kann in diesen Stunden nur warten und sich danach auf der Plattform anmelden.
Das EU-Login ist von der Meldeoberfläche getrennt und schon vor einem Vorfall verfügbar. ENISA will die Zahl leerer Herstellerkonten klein halten, damit die CSIRTs nicht vorab Tausende Zuordnungen prüfen.
Bleibt die Produktpflicht bis Dezember 2027 liegen?
Nein. Die Meldepflicht gilt ab dem 11. September 2026, die Produktanforderungen ab dem 11. Dezember 2027. Ab dem 11. Dezember 2027 müssen neue Produkte mit digitalen Elementen die wesentlichen Cybersicherheitsanforderungen erfüllen, bevor sie in der Union bereitgestellt werden. Das BSI nennt dafür Risikoanalyse, Security by Design, sichere Voreinstellungen, eine Software-Stückliste und Sicherheitsupdates über den Supportzeitraum. Die Stückliste muss erstellt, aber nicht veröffentlicht werden. Als Regelfall nennt das BSI fünf Jahre Support; läuft ein Produkt länger, verlängert sich der Zeitraum entsprechend.
Eine aktiv ausgenutzte Schwachstelle in einer Firmware-Komponente zwingt denselben Hersteller am 11. September 2026 zu sagen, in welchen Geräten diese Komponente steckt. Die Stückliste, die das BSI unter den Pflichten für Dezember 2027 führt, ist dieselbe Übersicht. Offen bleibt, ob die Plattform am 11. September erreichbar ist und wann ENISA die freiwilligen Meldungen freischaltet.
Häufige Fragen
Ab wann gilt die Meldepflicht?
Am 11. September 2026. Das BSI hat den Tag im Juni und erneut im August 2026 genannt. ENISA legt den Betrieb der Plattform auf dasselbe Datum.
Sperrt die CSIRT-Prüfung die erste Meldung?
Nein. Der CSIRT prüft die Zuordnung, während die Meldung schon läuft. Die Grenze liegt bei 20 Meldungen je Hersteller ohne abgeschlossene Prüfung.
Wer muss am 11. September 2026 noch nicht über die Plattform melden?
Für Open-Source-Verwalter gilt die Meldepflicht erst ab dem 11. Dezember 2027. Freiwillige Meldungen zu Bedrohungen oder Beinahe-Vorfällen kommen in einer späteren Phase.
Was gilt, wenn die Plattform nicht erreichbar ist?
ENISA verlangt, auf die Wiederherstellung zu warten und danach zu melden. Der Ausfall hebt die Pflicht nicht auf. Das EU-Login lässt sich unabhängig von der Meldeoberfläche anlegen.
Gilt am 11. September schon die volle Produktpflicht?
Nein. Die vollständige Umsetzung der CRA-Anforderungen für Produkte setzt das BSI auf den 11. Dezember 2027. Die Meldepflicht steht früher.
Weiterlesen auf MyBusinessFuture
MyBusinessFutureCyber Resilience Act: Was Hersteller jetzt tun müssenMyBusinessFutureNIS-2-Registrierung: Was die Chefetage jetzt tun mussMyBusinessFutureNIS2-Umsetzung: Checkliste für den Mittelstand jetztMehr aus dem MBF Media Netzwerk
cloudmagazinAWS entfernt privaten Preview-Pfad zu Azure wiederMyBusinessFutureKfW: Wärmepumpe gewollt, Kauf bleibt die AusnahmeDigital ChiefsSLB kauft Kelvion: 3,5 Milliarden für KI-KühlungBildquelle: KI-generiert (September 2026)
