CRA: Single Reporting Platform gestartet, Meldepflichten gelten ab sofort

 

Am 11.09.2026 ist die zentrale Meldeplattform Single Reporting Platform (CRA-SRP) für den Cyber Resilience Act (CRA) an den Start gegangen. Seitdem gelten die Meldepflichten des Artikel 14 CRA verbindlich. Hersteller von Produkten mit digitalen Elementen (PdE) müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die CRA-SRP an ENISA und die zuständige nationale CSIRT-Koordinierungsstelle melden.

Betroffenheit von Bestandsprodukten

Ein wichtiger Punkt, der in der Praxis häufig unklar ist, ist, dass die Meldepflichten nicht nur für neue Produkte gelten, sondern auch für Produkte, die bereits vor Inkrafttreten des CRA am 11.12.2027 auf dem Markt sind, sofern sie in den Anwendungsbereich des CRA fallen. Rückwirkend müssen keine Schwachstellen gemeldet werden, deren aktive Ausnutzung bereits vor dem 11.09.2026 bekannt war. Wird jedoch nach diesem Stichtag festgestellt, dass eine bereits bekannte Schwachstelle aktiv ausgenutzt wird, greift die Meldepflicht in vollem Umfang. Daher ist es entscheidend zu wissen, welche Produkte überhaupt als PdE im Sinne des Art. 3 Nr. 1 CRA gelten.

Wann muss gemeldet werden?

Gemäß Art. 14 Abs. 1 CRA muss ein Hersteller jede aktiv ausgenutzte Schwachstelle oder jeden schwerwiegenden Vorfall in seinem Produkt melden, sobald er Kenntnis erlangt. Eine aktiv ausgenutzte Schwachstelle liegt hierbei vor, wenn es verlässliche Hinweise („reliable evidence“) gibt, dass ein böswilliger Akteur sie ohne Erlaubnis des Systeminhabers tatsächlich ausgenutzt hat. In den Leitlinien der Kommission (Rn. 195) wird klargestellt, dass davon auszugehen ist, dass ein Hersteller Kenntnis erlangt hat, wenn er nach einer ersten Bewertung „mit hinreichender Sicherheit“ zu dem Ergebnis kommt, dass eine in seinem Produkt enthaltene Sicherheitslücke aktiv ausgenutzt wird. Der CRA sieht ein dreistufiges und eng getaktetes Meldeverfahren vor: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden sowie einen Abschlussbericht nach 14 Tagen beziehungsweise einem Monat.

Die Verordnung definiert nicht genauer, wann Informationen als „reliable evidence“ für eine aktive Ausnutzung gelten. Klar ist aber, dass eine bloß entdeckte oder im Rahmen von Tests gemeldete Zero-Day-Schwachstelle nicht genügt. Es braucht belastbare Hinweise, dass ein Angreifer die Lücke in einem echten System ohne Zustimmung ausgenutzt hat. Einträge in CISA-KEV, europäische Vulnerability-Datenbank oder CVE-Listen sind starke Indikatoren, ersetzen aber keine Einzelfallprüfung. Bei der Integration von Drittkomponenten müssen Hersteller eigenständig prüfen, ob tatsächlich zuverlässige Beweise für eine aktive Ausnutzung im eigenen Produkt vorliegen.

Interessant ist zudem: Hersteller müssen Lieferanten von Drittkomponenten nach dem CRA nicht vertraglich zu Sicherheitsmeldungen verpflichten. Als Best Practice sollten Hersteller ihre Lieferanten dennoch dazu verpflichten, weil die Verantwortung für aktiv ausgenutzte Schwachstellen im Produkt allein beim Hersteller liegt. Meldepflichtig ist nur, was im konkreten Produkt tatsächlich ausnutzbar ist.

Startversion mit Einschränkungen

Zum Start am 11.09.2026 steht auf der CRA-SRP ausschließlich die verpflichtende Meldung nach Artikel 14 und 24 CRA zur Verfügung. Die freiwillige Meldung nach Artikel 15 CRA (z. B. von nicht aktiv ausgenutzten Schwachstellen) ist erst für eine spätere Ausbaustufe der Plattform vorgesehen.

Meldeportal, FAQ und Glossar

Die technische Umsetzung erfolgt zentral über die CRA-SRP, die von ENISA betrieben, gepflegt und abgesichert wird. Die eigentliche Meldeplattform wird als separates Portal mit Login unter https://portal.cra-srp.enisa.europa.eu bereitgestellt.

Die ENISA empfiehlt, Registrierung und Validierung erst dann anzustoßen, wenn tatsächlich eine Meldung eingereicht werden soll. Weiterführende technische und organisatorische Hinweise stellt ENISA in ihren laufend aktualisierten Guidance-Dokumenten zur Verfügung.

Für die inhaltliche Vorbereitung stehen drei zentrale ENISA-Ressourcen zur Verfügung:

• Portal: Single Reporting Platform (SRP) | ENISA
• FAQ: Frequently Asked Questions | ENISA
• Glossar: CRA SRP Glossary | ENISA

Fazit

Der 11.09.2026 markiert einen der schärfsten Umsetzungstermine des CRA: Die Meldepflicht gilt sofort und europaweit. Dies gilt auch für Produkte, die bereits in Verkehr gebracht sind. Insbesondere die Hersteller sollten daher zeitnah klären, welche ihrer Produkte als PdE gelten, interne Prozesse zur Erkennung und Bewertung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle etablieren und sich frühzeitig mit den ENISA-Ressourcen zu Registrierung und Meldeablauf vertraut machen.