Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, die sich auf die Sicherheit von Produkten mit digitalen Elementen auswirken. Gemäß Artikel 71 Absatz 2 der Ratingagentur unterliegen quelloffene Software-Stewards ab dem 11. Dezember 2027 Berichtspflichten (Artikel 24 Absatz 3).
Was sind die wichtigsten Regeln?
Die Ratingagentur verlangt von den Herstellern, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden, die sich auf die Sicherheit ihres Produkts mit digitalen Elementen auswirken. Sie müssen innerhalb von 24 Stunden nach Bekanntwerden eine Frühwarnung und innerhalb von 72 Stunden eine vollständige Benachrichtigung einreichen. Spätestens 14 Tage, nachdem eine Korrekturmaßnahme für aktiv ausgenutzte Schwachstellen zur Verfügung steht, und innerhalb eines Monats nach der 72-stündigen Benachrichtigung über schwerwiegende Vorfälle muss ein Abschlussbericht vorgelegt werden. Berichterstattungspflichten sind auch für quelloffene Software-Stewards gemäß Artikel 24 Absatz 3 der Ratingagentur vorgesehen.
Die Hersteller melden nur einmal über die CRA Single Reporting Platform (SRP). Die Meldung ist an das Computer Security Incident Response Team (CSIRT) gerichtet, in dem sie ihre Hauptniederlassung haben, und, sofern keine besonderen außergewöhnlichen Umstände vorliegen, werden die Informationen gleichzeitig der ENISA zur Verfügung gestellt. Das CSIRT, das die Meldung ursprünglich erhält, teilt die Meldung unverzüglich mit allen anderen CSIRTs, in deren Hoheitsgebiet das Produkt mit digitalen Elementen bereitgestellt wurde.
Unter außergewöhnlichen Umständen und aus berechtigten Gründen im Zusammenhang mit der Cybersicherheit kann das CSIRT beschließen, die Verbreitung an andere CSIRTs zu verzögern: Am 11. Dezember 2025 erließ die Kommission einen delegierten Rechtsakt, in dem die Modalitäten und Bedingungen für die Anwendung solcher Gründe im Zusammenhang mit der Cybersicherheit genauer festgelegt wurden.
Wo sollten Hersteller ihre Meldungen einreichen?
Gemäß Artikel 16 der Ratingagentur und in enger Zusammenarbeit mit dem CSIRT-Netz hat die ENISA die zentrale Meldeplattform für Ratingagenturen eingerichtet, die ab dem 11. September 2026 in Betrieb ist. Hersteller und Open-Source-Software-Stewards sind verpflichtet, ihre Benachrichtigungen über diese Plattform einzureichen.
Den Link zur Single Reporting Platform (SRP) der ENISA finden Sie auf der Website der Single Reporting Platform (SRP) der ENISA.
Wo sind weitere Informationen zu den Berichtspflichten und dem SRP zu finden?
Die ENISA hat eine Reihe von Ressourcen zur Verwendung des CRA SRP veröffentlicht, darunter FAQs, Benutzerleitfäden, ein CRA SRP-Glossar und Schulungsmaterialien. Alle diese Ressourcen können auf der Website der zentralen Meldeplattform (Single Reporting Platform, SRP) der ENISA abgerufen werden.
Weitere Klarstellungen zu den Berichtspflichten sind auch in Abschnitt 9.1 der Leitlinien der Kommission zur Ratingagentur sowie in Abschnitt 5 der häufig gestellten Fragen der Kommission zur Umsetzung der Ratingagentur enthalten.
Einschlägige Kooperationsstellen
Referenzdokumente und Links
Website der ENISA zur zentralen Meldeplattform
Häufig gestellte Fragen zur CRA-Umsetzung
Leitlinien der Kommission zur Ratingagentur
Delegierter Rechtsakt über CSIRTs, mit dem Meldungen zurückgehalten werden, die über die zentrale Meldeplattform zu verbreiten sind
Zugehöriger Inhalt
Gesamtbild
Last update
11 September 2026