Was ist die einheitliche CRA-Meldeplattform?
Die einheitliche CRA-Meldeplattform ist die von ENISA nach Artikel 16 CRA einzurichtende, zu steuernde und aufrechtzuerhaltende Plattform für Meldungen nach Artikel 14 Absätzen 1 und 3 sowie Artikel 15 Absätzen 1 und 2 CRA.
Einordnung: Die Einrichtung ist eine Rechtspflicht von ENISA; aus Artikel 16 allein lässt sich kein abgeschlossener aktueller Umsetzungsstand ableiten. Pflichtmeldungen stammen grundsätzlich von Herstellern. Für Verwalter quelloffener Software gelten die begrenzten Pflichten des Artikels 24 Absatz 3. Freiwillige Meldungen können auch andere natürliche oder juristische Personen abgeben.
Der Normwortlaut
„Für die Zwecke der Meldungen gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze 1 und 2 und zur Vereinfachung der Meldepflichten der Hersteller richtet die ENISA eine einheitliche Meldeplattform ein. Der laufende Betrieb dieser einheitlichen Meldeplattform wird von der ENISA gesteuert und aufrechterhalten. Die Architektur der einheitlichen Meldeplattform muss es den Mitgliedstaaten und der ENISA ermöglichen, ihre eigenen Endpunkte für die elektronische Meldung einzurichten.“
Normtext: Adressatin der Einrichtungs-, Steuerungs- und Aufrechterhaltungspflicht ist ENISA. Die vorgeschriebene Architektur erfasst eigene elektronische Endpunkte der Mitgliedstaaten und ENISA. Der Zweck, Herstellerpflichten zu vereinfachen, ist keine zusätzliche Tatbestandsvoraussetzung.
Wer muss oder darf über die Plattform melden?
Hersteller müssen die in Artikel 14 Absätze 1 und 3 bezeichneten Ereignisse melden. Verwalter quelloffener Software, die nach Artikel 3 Nummer 14 keine Hersteller sind, treffen diese Pflichten nur in den begrenzten Fällen des Artikels 24 Absatz 3. Freiwillige Meldungen nach Artikel 15 Absätze 1 und 2 können Hersteller sowie andere natürliche oder juristische Personen abgeben; sie können Schwachstellen, Cyberbedrohungen, Sicherheitsvorfälle und Beinahe-Vorfälle betreffen. Vorgelagert bleibt der Anwendungsbereich des CRA maßgeblich: Er erfasst grundsätzlich auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt; die Ausschlüsse und Einschränkungen des Artikels 2 bleiben anwendbar.
Welche Ereignisse lösen Pflichtmeldungen aus?
Auslöser ist, dass ein Hersteller Kenntnis von einer in seinem Produkt mit digitalen Elementen enthaltenen aktiv ausgenutzten Schwachstelle oder von einem schwerwiegenden Sicherheitsvorfall erlangt, der die Sicherheit eines solchen Produkts beeinträchtigt. Ein Sicherheitsvorfall ist nur schwerwiegend, wenn er entweder die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, beeinträchtigt oder beeinträchtigen kann, oder wenn er zur Einschleusung oder Ausführung böswilligen Codes im Produkt oder in den Netz- und Informationssystemen eines Nutzers geführt hat oder führen kann. Die Meldung wird einmal über den nach Artikel 14 Absatz 7 maßgeblichen elektronischen Endpunkt des als Koordinator benannten CSIRT übermittelt und ist gleichzeitig für dieses CSIRT und ENISA zugänglich.
Welche Fristen gelten für Pflichtmeldungen?
Artikel 14 gilt ab dem 11. September 2026. Ab Kenntniserlangung muss die Frühwarnung unverzüglich, spätestens binnen 24 Stunden, und die Folgemeldung unverzüglich, spätestens binnen 72 Stunden erfolgen. Bei einer aktiv ausgenutzten Schwachstelle folgt der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme. Bei einem schwerwiegenden Sicherheitsvorfall ist er binnen eines Monats nach Übermittlung der Vorfallsmeldung fällig. Folgemeldung oder Abschlussbericht entfallen insoweit, wie die betreffenden Informationen bereits vorgelegt wurden. Das Anwendungsdatum ist daher nicht mit einer einzelnen Meldefrist gleichzusetzen.
Wie werden Meldungen weitergegeben und geschützt?
Technische Einordnung: Die Plattform ist föderiert über nationale elektronische Endpunkte und einen ENISA-Endpunkt angelegt. ENISA muss geeignete und verhältnismäßige technische, operative und organisatorische Schutzmaßnahmen treffen und gemeinsam mit dem CSIRTs-Netzwerk Spezifikationen für Einrichtung, Pflege und sicheren Betrieb bereitstellen und umsetzen. Solange für eine gemeldete Schwachstelle keine Korrektur- oder Risikominderungsmaßnahme verfügbar ist, gelten bei der Weitergabe strenge Sicherheitsprotokolle und der Grundsatz „Kenntnis nur, wenn nötig“. Daraus folgt die Abgrenzung als geschützter Meldeweg und nicht als öffentliches Offenlegungsportal.
Wann darf die Weiterverbreitung aufgeschoben werden?
Auslegung der Grenzen: Das als Koordinator benannte CSIRT darf die Weiterverbreitung nur unter den Voraussetzungen des Artikels 16 Absatz 2, aus berechtigten Cybersicherheitsgründen und nur so lange aufschieben, wie dies unbedingt erforderlich ist. Außergewöhnliche Umstände, insbesondere ein Antrag des Herstellers und die Sensibilität der Informationen, sind zu berücksichtigen. In den besonderen außergewöhnlichen Umständen des Artikels 16 Absatz 2 Unterabsatz 3 gilt die zusätzliche Begrenzung, wenn nach den verfügbaren Informationen die aktiv ausgenutzte Schwachstelle in keinem anderen Mitgliedstaat ausgenutzt wurde, eine weitere Verbreitung einem böswilligen Akteur voraussichtlich sofort nützliche Informationen liefern würde oder noch keine Korrektur- oder Risikominderungsmaßnahme verfügbar ist. ENISA erhält dann zunächst nur die Information, dass eine Meldung erfolgt ist, allgemeine Angaben zum betroffenen Produkt, zur allgemeinen Art der Ausnutzung und zum Aufschub. Artikel 16 Absatz 6 erlaubt im Rahmen koordinierter Offenlegung einen weiteren begrenzten Aufschub bis zur Zustimmung der beteiligten Parteien, ebenfalls nicht länger als unbedingt erforderlich.
Welche Sonderregeln gelten für freiwillige Meldungen und Open-Source-Verwalter?
Unbeschadet der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten darf eine freiwillige Meldung nicht dazu führen, dass der meldenden natürlichen oder juristischen Person zusätzliche Pflichten auferlegt werden, denen sie ohne die Meldung nicht unterlegen hätte; die als Koordinatoren benannten CSIRTs und ENISA müssen die Vertraulichkeit und einen angemessenen Schutz der übermittelten Informationen sicherstellen. Für Verwalter quelloffener Software ist Artikel 24 Absatz 3 ein Spezialregime, keine allgemeine Plattformausnahme: Artikel 14 Absatz 1 gilt nur, soweit sie an der Entwicklung des betroffenen Produkts beteiligt sind; Artikel 14 Absätze 3 und 8 gelten nur, wenn der Vorfall die von ihnen für die Entwicklung bereitgestellten Netz- und Informationssysteme beeinträchtigt.
Häufige Fehlannahmen
- „Die Plattform ist bereits allgemein verfügbar.“ Aus der Einrichtungs- und Betriebspflicht des Artikels 16 lässt sich eine bereits bestehende allgemeine Verfügbarkeit nicht ableiten.
- „Jede Meldung ist verpflichtend.“ Artikel 14 regelt Pflichtmeldungen; Artikel 15 daneben ausdrücklich freiwillige Meldungen.
- „Die Plattform ist ein öffentliches Ticket- oder Offenlegungsportal.“ Zugriffs-, Schutz- und Need-to-know-Regeln sprechen für einen geschützten Meldeweg.
- „Alle Informationen werden stets sofort uneingeschränkt verteilt.“ Artikel 16 Absätze 2 und 6 erlauben nur in eng begrenzten Fällen und nur für die unbedingt erforderliche Dauer einen Aufschub.
- „Der neue Meldeweg ersetzt sämtliche anderen Meldewege.“ Artikel 16 begrenzt den Plattformzweck auf die ausdrücklich genannten Meldungen; weitergehender Ersatz ist nicht normiert.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind aus den Herstellerpflichten abgeleitete Organisationsmaßnahmen. Der CRA richtet diese Prozessgestaltung nicht ausdrücklich an die Geschäftsleitung und schreibt keine bestimmten internen Rollen vor.
- Vor dem 11. September 2026 dokumentiert anhand von Artikel 3 Nummer 13 klären, ob das Unternehmen Hersteller im Sinne des CRA ist und welche Produkte unter Artikel 2 fallen.
- Einen Erkennungs-, Bewertungs- und Eskalationsprozess für beide Pflichtauslöser einschließlich der beiden Alternativen des Artikels 14 Absatz 5 festlegen und testen.
- Verantwortung und Vertretung für Frühwarnung, Folgemeldung und Abschlussbericht sowie die 24-/72-Stunden-, 14-Tage- und Monatsfristen nachweisbar zuordnen.
- Den nach Artikel 14 Absatz 7 zuständigen elektronischen Endpunkt des als Koordinator benannten CSIRT bestimmen, den sicheren Zugang absichern und berücksichtigen, dass die dort einmal eingereichte Meldung gleichzeitig für ENISA zugänglich ist.
- Nachweise zu Kenntniserlangung, Bewertung, bereits übermittelten Informationen, Korrektur- oder Risikominderungsmaßnahmen und fristgerechter Abgabe revisionsfähig aufbewahren.
Für die Geschäftsleitung
Relevant ist die Plattform vor allem für Unternehmen, die nach Artikel 3 Nummer 13 Hersteller erfasster Produkte mit digitalen Elementen sind; hinzu kommen das begrenzte Spezialregime für Verwalter quelloffener Software und der weitere Personenkreis freiwillig Meldender. Die zentrale Entscheidung lautet, ob Produkt, Adressat, Ereignis und Schwerekriterium Artikel 14 oder Artikel 24 Absatz 3 auslösen und welcher CSIRT-Endpunkt zuständig ist. Nachweisbar sein sollten insbesondere Zeitpunkt der Kenntniserlangung, Bewertung, Eskalation, Meldestufen, Fristwahrung und bereits übermittelte Informationen. Dies ist eine Organisationsfolgerung, keine eigenständige gesetzliche Geschäftsleitungspflicht.
Quellen
- Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), insbesondere Artikel 2, Artikel 3 Nummern 13 und 14, Artikel 14 bis 16, Artikel 24 Absatz 3 und Artikel 71 Absatz 2.
