CRA-Meldepflichten: Fristen, Zuständigkeiten und Checkliste

Welche Fälle gemeint sind

Die Meldepflicht betrifft Hersteller von Produkten mit digitalen Elementen im Anwendungsbereich des Cyber Resilience Act. Auslöser sind aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle mit Auswirkungen auf die Produktsicherheit. Eine Unternehmenswebsite allein macht ihren Betreiber nicht automatisch zum meldepflichtigen Hersteller.

Prüfen Sie deshalb zuerst Produkt, Rolle und konkreten Vorfall. Ein allgemeiner Scannerfund ist noch keine Feststellung, dass eine Schwachstelle aktiv ausgenutzt wird. Für die interne Entscheidung sollten Beobachtung, bestätigte Tatsachen und offene Fragen getrennt vorliegen. [1] [2]

Die Frist beginnt bei der Kenntnisnahme

24 und 72 Stunden laufen vom selben Ausgangspunkt. Protokollieren Sie ihn mit Zeitzone und Grundlage der Bewertung. Neue Erkenntnisse gehören mit eigenem Zeitstempel in dieselbe Vorgangsakte. [1] [5]

Den Meldeweg personell absichern

Meldungen laufen über ENISAs Single Reporting Platform (SRP) an das zuständige koordinierende CSIRT und grundsätzlich auch an ENISA. Für den Zugang benötigen benannte Vertreter ein persönliches EU-Login-Konto mit Mehrfaktor-Authentifizierung.

Legen Sie intern Hauptzuständigkeit und Vertretung fest. Bereiten Sie EU Login und Zugriffswege vor. ENISA empfiehlt derzeit, die Herstellerregistrierung und deren Validierung auf der SRP erst bei einem tatsächlichen Meldebedarf anzustoßen. Prüfen Sie vor der Nutzung den aktuellen Ablauf in der offiziellen Anleitung. [3] [4]

Eine Vorgangsakte statt verstreuter Nachrichten

Unsere praktische Empfehlung: Führen Sie Produkt und betroffene Versionen, Kenntniszeitpunkt, technische Nachweise, Auswirkungen, bereits ergriffene Maßnahmen sowie offene Fragen in einer gemeinsamen Akte zusammen. Ergänzen Sie für jede nächste Handlung eine verantwortliche Person und einen Termin.

So kann die Vertretung nachvollziehen, welche Aussage gesichert ist und welcher Punkt noch geprüft wird. Bewahren Sie außerdem die tatsächlich eingereichten Meldungen und ihre Zeitpunkte auf. Das hilft bei späteren Ergänzungen, ohne aus einer ersten Einschätzung nachträglich eine vermeintliche Gewissheit zu machen.

Aktueller Plattformhinweis: den Zähler gegenprüfen

ENISAs FAQ vom 3. Oktober 2026 nennt eine Besonderheit der aktuellen SRP: Der 72-Stunden-Zähler zeigt derzeit 48 Stunden nach Abgabe der Frühwarnung als Termin an. Dadurch kann die Plattform eine Meldung früher als überfällig darstellen, als es der Zeitpunkt der Kenntnisnahme ergibt.

Führen Sie die maßgebliche Frist daher zusätzlich intern. Die Anzeige ersetzt die rechtliche Fristenprüfung nicht. ENISA kündigt eine Anpassung der Berechnung an; bei einem konkreten Fall ist der dann aktuelle Plattformstand zu prüfen. [4]

Mit einem kurzen Probelauf Lücken finden

Gehen Sie einen erfundenen Fall intern durch, ohne eine Behördenmeldung abzusenden: Wer erhält den Hinweis, wer bewertet die Betroffenheit, wer entscheidet und wer übernimmt außerhalb üblicher Arbeitszeiten? Prüfen Sie dabei auch, ob die Vertretung die Akte findet.

Das Ergebnis sollte eine kurze Liste konkreter Verbesserungen sein: fehlender Zugriff, unklare Vertretung, veraltete Produktliste oder nicht dokumentierte Entscheidung. Bearbeiten Sie diese Punkte vor dem nächsten echten Sicherheitsfall.

CRA-Vorbereitung als ausfüllbare Checkliste

Nutzen Sie das Arbeitsblatt für die interne Vorbereitung: Eine Person übernimmt jeden offenen Punkt, hält den Beleg fest und vereinbart einen Termin. Die Vorlage erfasst den Vorbereitungsstand; sie ist weder eine Meldung an ENISA noch eine vollständige Liste gesetzlicher Pflichten.

Prüfen Sie die Übergabe mit einer fiktiven Fallkennung. Dokumentieren Sie, wo eine Vertretung den aktuellen Sachstand findet. Interne Belege gehören in einen zugriffsbeschränkten Ablageort; im Arbeitsblatt genügt ein Verweis. Keine Zugangsdaten oder personenbezogenen Rohdaten eintragen.

Die Tabelle lässt sich seitlich verschieben.

CRA-Vorbereitungscheckliste herunterladen