ENISA und der Cyber Resilience Act: Was Unternehmen jetzt wissen müssen
Die erste CRA-Frist steht bevor: Ab dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfalle. Unternehmen sollten nicht bis zum Stichtag warten, sondern Zuständigkeiten, Prozesse und Informationen bereits jetzt vorbereiten.
Was ist ENISA?
ENISA ist die Agentur der Europäischen Union für Cybersicherheit. Sie unterstutzt die EU-Mitgliedstaaten und Unternehmen dabei, digitale Produkte und Infrastrukturen sicherer zu machen. Im Zusammenhang mit dem Cyber Resilience Act betreibt ENISA die CRA Single Reporting Plattform (CRA SRP) – eine
zentrale Meldeplattform, über die Hersteller bestimmte Schwachstellen und Sicherheitsvorfalle elektronisch melden.
Statt dieselben Informationen an mehrere nationale Stellen schicken zu müssen, erfolgt die Meldung einmalig über die Plattform. Diese leitet die Daten an das zuständige nationale CSIRT und gleichzeitig an ENISA weiter.
Was regelt der Cyber Resilience Act?
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung fur Produkte mit digitalen Elementen: vernetzte Hardware, Software, Gerate mit Internetverbindung und digitale Komponenten auf dem EU-Markt.
Der CRA verlangt, dass Cybersicherheit bereits bei Planung, Entwicklung und Wartung berücksichtigt wird. Hersteller müssen Risiken über den gesamten Produktlebenszyklus behandeln, Schwachstellen bearbeiten und Sicherheitsupdates bereitstellen. Der CRA ist seit dem 10. Dezember 2024 in Kraft. Die wichtigsten Anforderungen gelten ab dem 11. Dezember 2027. Eine besonders dringende Teilpflicht beginnt jedoch früher: Die Meldepflichten nach
Artikel 14 gelten ab dem 11. September 2026.
Die erste wichtige Frist: 11. September 2026
Ab diesem Datum müssen Hersteller bestimmte Ereignisse melden, sobald sie davon Kenntnis erlangen:
- Aktiv ausgenutzte Schwachstellen: Ein Angreifer hat eine Schwachstelle unbefugt ausgenutzt.
- Schwerwiegende Sicherheitsvorfalle: Ein Vorfall beeinträchtigt die Sicherheit des Produkts
erheblich (z. B. Verfügbarkeit, Integrität oder Vertraulichkeit).
Die Meldepflicht kann auch Produkte betreffen, die bereits vor dem vollständigen Geltungsbeginn des CRA auf dem EU-Markt waren. Entscheidend ist, wann der Hersteller von der aktiven Ausnutzung oder dem Vorfall Kenntnis erlangt.
Die Meldefristen im Überblick
Die Fristen laufen ab dem Moment, in dem der Hersteller von der Schwachstelle oder dem Vorfall erfährt:
| Meldeschritt | Frist | Inhalt |
|---|---|---|
|
Frühwarnung |
innerhalb von 24 Stunden |
Erste Informationen über Schwachstelle oder Vorfall |
|
Hauptmeldung |
innerhalb von 72 Stunden |
Allgemeine Informationen und erste Einschätzung |
|
Abschlussbericht bei Schwachstellen |
spätestens 14 Tage nach Patch |
Details zur Schwachstelle und Korrekturmaßnahmen |
|
Abschlussbericht bei Vorfällen |
innerhalb eines Monats nach 72-Stunden-Meldung |
Ausführliche Informationen zum Vorfall und Maßnahmen |
Die kurze Reaktionszeit macht deutlich: Eine Meldung lasst sich nicht erst im Krisenmoment organisatorisch erfinden.
PDF-Übersichnt zum Downloaden
Im beigefugten ENISA-Factsheet finden Sie eine kompakte grafische Übersicht zu den Meldepflichten: Wer melden muss, welche Ereignisse betroffen sind, welche Fristen gelten und wie der Meldeweg über die CRA
SRP funktioniert. Das Factsheet eignet sich gut als erster Orientierungspunkt, bevor die Details im eigenen Unternehmen eingeordnet werden.
Warum die Vorbereitung komplizierter ist als gedacht
In der Praxis müssen mehrere Unternehmensbereiche zusammenspielen: Produktverantwortliche, Security, Support und Incident Response. Unternehmen müssen zudem belastbar dokumentieren können:
- Welche Produkte und Versionen betroffen sind.
- In welchen Ländern sie angeboten werden.
- Wann die Organisation von der Schwachstelle oder dem Vorfall erfahren hat.
- Welche Maßnahmen bereits umgesetzt wurden.
Besonders kritisch ist der Zeitpunkt der Kenntniserlangung. Denn ab diesem Moment beginnen die
kurzen gesetzlichen Fristen.
Was Unternehmen jetzt tun sollten
- Produkte und Rollen erfassen: Ubersicht aller Produkte mit digitalen Elementen, Versionen, Markte und verantwortliche Teams.
- CRA-Anwendungsbereich prüfen: Klaren, ob Ihr Unternehmen als Hersteller, Importeur, Handler oder OSS-Steward betroffen ist.
- Meldeprozess definieren: Festlegen, wer Hinweise bewertet, Entscheidungen trifft und Meldungen über die CRA SRP einreichen darf.
- 24-/72-Stunden-Szenarien üben: Simulieren Sie einen Vorfall und prüfen Sie, ob die benötigten
Informationen rechtzeitig verfügbar sind. - EU-Login und Vertretung vorbereiten: Zuständige Personen bestimmen und organisatorische Validierung klaren.
Wir unterstützen bei der Umsetzung
Die CRA-Anforderungen betreffen nicht nur einzelne Formulare. Sie wirken sich auf Produktentwicklung, Schwachstellenmanagement, Incident Response, Dokumentation und interne Verantwortlichkeiten aus.
Smarttecs unterstützt Unternehmen dabei, aus den CRA-Vorgaben einen umsetzbaren Prozess zu machen. Wir helfen bei der Einordnung betroffener Produkte, der Analyse bestehender Sicherheits- und Meldeprozesse, der Vorbereitung auf die CRA-SRP sowie bei der Entwicklung von Rollen, Vorlagen und Eskalationswegen.
Jetzt CRA-Readiness prüfen
Die erste Meldefrist am 11. September 2026 ruckt naher. Warten Sie nicht, bis ein realer Vorfall die offenen Fragen sichtbar macht. Sprechen Sie jetzt mit Smarttecs und lassen Sie prüfen, ob Ihr Unternehmen für die 24- und 72-Stunden-Anforderungen vorbereitet ist.
Unterstützung bei Richtlinien und Prozessen
Sie benötigen Hilfe bei der Aktualisierung Ihrer Sicherheitsrichtlinien, bei Verantwortlichkeitsmatrizen
oder bei der Gestaltung eines CRA-konformen Meldeprozesses? Smarttecs begleitet Sie von der ersten
Bestandsaufnahme bis zur praktischen Umsetzung.
Beratung zur CRA-Umsetzung vereinbaren!
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Maßgeblich sind der aktuelle Verordnungstext sowie die jeweils geltenden Leitlinien der Europäischen Kommission und von ENISA.