IT Security

CRA-Meldepflicht gilt: 24 Stunden, ENISA-Plattform, wenig Vorbereitung

Ab heute greift die CRA-Meldepflicht: Frühwarnung über die ENISA-Plattform binnen 24 Stunden. Viele Unternehmen wissen noch nicht, was das für ihr Haus bedeutet.

Von Wolfgang

11. Sep. 20264 Min. Lesezeit

CRA-Meldepflicht gilt: 24 Stunden, ENISA-Plattform, wenig Vorbereitung

Ab heute greift die CRA-Meldepflicht: Frühwarnung über die ENISA-Plattform binnen 24 Stunden. Viele Unternehmen wissen noch nicht, was das für ihr Haus bedeutet.

Freitagabend, aktiv ausgenutzte Lücke, Englisch, Freigabe: Ab dem 11. September 2026 greift Artikel 14 des Cyber Resilience Act. Wer Produkte mit digitalen Elementen herstellt und eine aktiv ausgenutzte Schwachstelle oder einen schweren Sicherheitsvorfall mit Bezug zur Produktsicherheit erkennt, muss binnen 24 Stunden über die Single Reporting Platform der EU-Cybersicherheitsagentur ENISA frühwarnen. Die Uhr läuft nicht mehr in Folien, sondern in Tickets.

ENISA hat die Plattform freigeschaltet; das Portal liegt unter portal.cra-srp.enisa.europa.eu. In Deutschland koordiniert das BSI über CERT-Bund. Zugang läuft über EU-Login, die Meldung selbst auf Englisch. Eine Bitkom-Umfrage vom Vortag zeigt das Spannungsfeld: Der CRA-Begriff ist vielen bekannt – aber nur knapp drei von zehn Unternehmen wissen, was er für das eigene Geschäft bedeutet.

Was gemeldet werden muss – und was nicht

Gemeldet werden aktiv ausgenutzte Schwachstellen und schwere Vorfälle mit Bezug zur Produktsicherheit. Das BSI stellt klar: Ein öffentlicher Exploit allein reicht nicht. Es braucht belastbare Hinweise auf echte Ausnutzung. Ransomware im Herstellerbetrieb ist nicht automatisch CRA-pflichtig. Entscheidend bleibt, ob Produktsicherheit, Update-Pfade oder Signaturschlüssel betroffen sind. Wer diese Abgrenzung im Playbook nicht vorab trifft, verliert Zeit in der ersten Stunde der Analyse.

Die Kette ist gestuft: Frühwarnung innerhalb von 24 Stunden, dann detailliertere Bewertung, später ein Abschlussbericht. ENISA setzt auf einmaliges Melden mit Weitergabe an das koordinierende CSIRT. NIS-2 über das BSI-Portal bleibt ein eigener Kanal. Wer beides berührt, muss Doppelarbeit und Abstimmungsaufwand einplanen – nicht als Formalität, sondern als Kapazität in der Incident-Nacht. Juristische und technische Freigabe sollten vorher geklärt sein, nicht erst, wenn die Frist schon läuft.

Portal live, Probebetrieb fehlte

Vorregistrierung ist laut BSI nicht Pflicht; im Ernstfall soll es schnell gehen. Genau das ließ sich vor dem Stichtag für die breite Herstellerbasis nicht üben. Bitkom-Präsident Ralf Wintergerst hatte das als Praxisproblem benannt: Selbst vorbereitete Unternehmen konnten den Meldeweg nicht vorab durchspielen. Wer erst im Alarmfall EU-Login, Zuständigkeiten und englische Formulierungen klärt, verliert Stunden, die die 24-Stunden-Frist nicht hergibt.

Bekanntheit des Labels sagt wenig über fertige Meldeprozesse. Security-by-Design und die großen Produktpflichten greifen erst Ende 2027. Die Meldekette braucht trotzdem Inventar, CVD-Anschluss, Vertretungsregelungen und Freigaben – ein Portal-Konto allein ersetzt das nicht. Wer wartet, bis die Design-Pflichten greifen, unterschätzt die operative Härte der Meldefrist.

Freitagabend im PSIRT

Stellen Sie sich vor: Freitag, 18:40 Uhr. Das Product Security Incident Response Team eines Maschinenbauers mit vernetzter Steuerung erkennt Hinweise auf aktive Ausnutzung einer Firmware-Lücke in einem noch im Feld stehenden Produkt. Der Vertreter springt ein, weil die Stammbesetzung schon im Wochenende ist. Innerhalb von Minuten muss klar sein: Welche Serien und Softwarestände sind betroffen? Liegt echte Ausnutzung vor – oder nur ein öffentlicher Proof-of-Concept? Wer gibt die englische Frühwarnung an die ENISA-Plattform frei? Und parallel: Muss zusätzlich über den NIS-2-Kanal gemeldet werden?

Das Szenario ist hypothetisch, die Reibungspunkte sind es nicht. Ohne aktuelle Asset- und SBOM-Lage wird die Frist zum Ratespiel. Ohne klare Vertretung hängt die Meldung an einer Person mit Laptop und schlechtem WLAN. Ohne Englisch-Vorlagen entsteht Textarbeit unter Druck – genau dann, wenn Analyse und Eindämmung priorisiert werden müssten. Wer das einmal trocken durchspielt, merkt schnell, wo Inventar, Rechte und Sprache klaffen.

Praktisch zählt die Anschlussfähigkeit: Welche Systeme speisen die Frühwarnung? Wer hält die Produktzuordnung aktuell? Welche Vertretung gilt an Feiertagen? Diese Fragen wirken banal, bis die erste echte Ausnutzungsmeldung ansteht. Dann entscheiden sie über Stunden – und über die Qualität der Information, die bei CERT-Bund und ENISA ankommt.

Was Entscheider jetzt brauchen

Für Geschäftsleitung und Produktverantwortung heißt der Stichtag: Meldeprozesse wie kritisches Betriebsvermögen behandeln. Inventar und CVD müssen an die Plattform anschlussfähig sein. Vertretung für Wochenende und Feiertage gehört dokumentiert, nicht implizit. Bitkom misst Bekanntheit und Selbsteinschätzung, nicht die Zahl fertiger Playbooks. ENISA und BSI beschreiben den Kanal und die Abgrenzung – nicht, wie reibungslos die erste echte Meldung läuft.

Der Stichtag ist operativ. Die offene Frage bleibt praktisch: Wie viele Hersteller ziehen die Kette aus Inventar, CVD und Freigabe wirklich – und wie oft wird die erste Meldung zur Lernkurve unter Zeitdruck?