CRA, Meldepflicht, ENISA-Plattform Die Meldepflicht läuft, das Gesetz ist beschlossen

Seit September müssen Hersteller vernetzter Produkte ausgenutzte Schwachstellen über eine EU-Plattform melden, doch ihr Fristzähler rechnet falsch. Das deutsche Durchführungsgesetz ist beschlossen, aber noch nicht verkündet. Wo die Praxis klemmt und welche Vorarbeit im Werk nötig ist.

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, hat am 11. September 2026 seine erste Stufe scharf geschaltet. Seit diesem Tag greifen die Meldepflichten nach Artikel 14 für Hersteller von Produkten mit digitalen Elementen. Die übrigen Anforderungen mit Security by Design, Konformitätsbewertung und CE-Kennzeichnung folgen am 11. Dezember 2027. Eine allgemeine Produkthaftung für Maschinen beim Kunden begründet der Stichtag nicht, er verpflichtet zur Meldung.

Neue Meldepflicht startet

24-Stunden-Frist des Cyber Resilience Act gilt ab heute

Zwei Auslöser, drei Fristen

Meldepflichtig sind zwei Fälle, die sich in der Praxis überschneiden und in der Verordnung dennoch getrennt geführt werden, denn an ihnen hängen unterschiedliche Fristen für den Abschlussbericht. Eine aktiv ausgenutzte Schwachstelle liegt vor, sobald belastbare Belege dafür bestehen, dass ein Angreifer sie in einem System ohne Erlaubnis des Eigentümers ausgenutzt hat. Als schwerwiegend gilt ein Vorfall, wenn ein Ereignis die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen. Dasselbe gilt, wenn dadurch Schadcode in das Produkt oder in das Netz eines Nutzers gelangt ist oder gelangen kann.

Das BSI konkretisiert den Begriff der aktiv ausgenutzten Schwachstelle nach Art. 3 Nr. 42 CRA. Erforderlich sind belastbare Hinweise darauf, dass ein böswilliger Akteur die Schwachstelle in einem realen System ohne Erlaubnis ausgenutzt hat. Veröffentlichter Exploit-Code, Proof-of-Concept-Code oder Portscans reichen dafür nicht aus. Eine ausnutzbare, aber nicht ausgenutzte Schwachstelle bleibt außerhalb der Meldepflicht, verlangt sind belastbare Hinweise auf eine tatsächliche Ausnutzung in einem realen System.

Für beide Fälle gilt derselbe Takt. Eine Frühwarnung muss binnen 24 Stunden ab Kenntnis herausgehen, die vollständige Meldung mit erster Bewertung binnen 72 Stunden. Beim Abschlussbericht trennt die Verordnung die Fälle. Für eine ausgenutzte Schwachstelle läuft die Frist 14 Tage ab dem Zeitpunkt, zu dem eine Abhilfemaßnahme vorliegt. Für einen tatsächlichen Vorfall bleibt ein Monat nach der 72-Stunden-Meldung.

Die Uhr startet mit der Kenntnis des Herstellers und nicht mit dem Vorfall. Die Fristen laufen auch am Wochenende und im Betriebsurlaub. Der intern Verantwortliche braucht deshalb eine benannte Vertretung und einen dokumentierten Ablauf, der auch am Samstagabend greift, wenn das Monitoring einen Treffer meldet und der zuständige Ingenieur zwei Wochen im Urlaub ist. Eine Ausnahme nennt ENISA ausdrücklich. Kannte ein Hersteller die Ausnutzung einer Schwachstelle bereits vor dem 11. September 2026, muss er sie nicht nachmelden. Erfährt er erst danach von der Ausnutzung, gilt die Meldepflicht auch für eine alte Sicherheitslücke. Sie erfasst nach Artikel 69 Absatz 3 zudem alle Produkte, die vor dem 11.Dezember 2027 in Verkehr gekommen sind. Für Maschinen- und Anlagenbauer gehören damit auch Steuerungen dazu, die seit Jahren beim Kunden laufen.

Was ist nach dem CRA meldepflichtig?

Nicht jeder Sicherheitsalarm startet die CRA-Meldefrist

Der Fristzähler rechnet zu knapp

So weit, so gut. Doch der Fristenzähler der ENISA-Plattform bildet die gesetzlichen Fristen nicht zuverlässig ab. Ein Hersteller, der sich auf die Anzeige der Plattform verlässt, arbeitet unter falschem Druck. Die ENISA weist in den Fragen und Antworten zur Plattform darauf hin, dass der 72-Stunden-Zähler in der aktuellen Fassung einen Termin 48 Stunden nach dem Absenden der Frühwarnung anzeigt. Eine Meldung kann damit als überfällig erscheinen, obwohl seit der Kenntnis noch keine 72 Stunden vergangen sind. Für aktiv ausgenutzte Schwachstellen fehlt ein Zähler für den Abschlussbericht ganz, denn diese Frist hängt am Zeitpunkt der Abhilfemaßnahme, den die Plattform nicht kennt.

Beides führt auf dieselbe Vorkehrung. Die verbindliche Uhr läuft im Unternehmen selbst. Ein Hersteller, der Kenntniszeitpunkt, Frühwarnung und Bewertung protokolliert, belegt einer Aufsicht die Einhaltung auch dann, wenn die Anzeige im Formular etwas anderes behauptet.

Security-Insider Podcast – Folge 115

Der CRA hebt Cybersicherheit auf ein neues Niveau

Eine Meldung, zwei Empfänger

Die Meldung läuft über die Single Reporting Platform, die die EU-Agentur ENISA nach Artikel 16 betreibt. ENISA hat zum Stichtag die erste Betriebsfassung bereitgestellt und kündigt an, den Umfang in den kommenden Monaten anhand der Betriebserfahrung zu erweitern. Ein Hersteller reicht einmal ein. Das als Koordinator benannte CSIRT nimmt die Meldung entgegen, ENISA erhält sie gleichzeitig. Das empfangende CSIRT verteilt sie danach an die CSIRTs der Länder, in denen das Produkt verfügbar ist, und stellt der Marktüberwachung die Angaben bereit, die diese für ihre Aufgaben braucht. In begründeten Ausnahmefällen darf es die Weitergabe zurückhalten, die Bedingungen dafür hat die Kommission am 11. Dezember 2025 in einem delegierten Rechtsakt festgelegt. Für deutsche Hersteller sitzt dieses CSIRT im BSI.

Die ENISA bleibt nach dem Eingang einer Meldung im Vorgang. Die Agentur betreibt einen Helpdesk, der ausdrücklich kleinere Hersteller unterstützt, nimmt eine gemeldete Schwachstelle in die europäische Schwachstellendatenbank auf, sobald eine Abhilfe verfügbar ist und der Hersteller zustimmt, und legt alle 24 Monate einen Trendbericht vor, den ersten binnen 24 Monaten nach Geltungsbeginn der Meldepflicht. Dazu liegen inzwischen Handbücher, Lehrvideos, ein Glossar und ein Merkblatt vor, letzteres in weiteren EU-Sprachen.

Das Meldeformular der ENISA fragt unter anderem diese Angaben ab:

• Produkt: Name, betroffene Versionen und, freiwillig, die betroffene Komponente

• Hersteller: meldende Organisation, Ansprechpartner für Rückfragen und als freiwillige Angabe die CVE- oder EUVD-Nummer, sofern vorhanden

• Sachverhalt: Art der Schwachstelle oder des Vorfalls und Art der Ausnutzung

• Auswirkung: Schwere und Folgen des Vorfalls oder der Schwachstelle

• Maßnahmen: bereits ergriffene Abhilfe und Hinweise für Anwender

Zwei Rollen für den Zugang

Gemeldet wird mit einem persönlichen EU-Login-Konto. Die Plattform verlangt dafür die Mehr-Faktor-Anmeldung. Dabei gibt es zwei Rollen. Ein Primary Assigned Representative registriert den Hersteller und lädt weitere Personen ein, ein Secondary Assigned Representative bestätigt die vorbelegten Angaben und ist danach ebenso handlungsfähig (Stand der Betriebsfassung vom 11. September 2026). Beide sehen und bearbeiten alle abgesendeten Meldungen ihres Herstellers, unabhängig von der einreichenden Person. Ein abgesendeter Vorgang bleibt damit auch dann bearbeitbar, wenn der Kollege im Urlaub ist, der die Frühwarnung abgesetzt hat. Entwürfe speichert die Plattform dagegen nur im Konto der Person, die sie angelegt hat. Teams sollten eine Frühwarnung direkt absenden.

Das BSI beziffert den Aufwand für Registrierung und Meldungsabgabe mit wenigen Minuten. ENISA rät, sich erst zu registrieren, wenn eine Meldung ansteht, da jede Registrierung beim CSIRT eine Prüfung auslöst. Das EU-Login-Konto samt zweitem Faktor lässt sich davon unabhängig vorbereiten, da im Ernstfall die Zeit für diesen Schritt fehlt. Eine Programmierschnittstelle stellt ENISA in der ersten Fassung nicht bereit, jede Meldung wird also von Hand im Formular erfasst. Die Plattform selbst führt nur Englisch, ob weitere Sprachen dazukommen, prüft ENISA noch.

Risiken und Probleme aktueller MFA-Methoden

Die 5 größten Herausforderungen für Multi-Faktor-Authentifizierung (MFA)

Fremde Komponenten zählen mit

Die Pflicht endet nicht am selbst geschriebenen Code. Steckt die ausgenutzte Schwachstelle in einer zugekauften oder quelloffenen Komponente, bleibt der Hersteller des Endprodukts in der Meldepflicht. Verwalter quelloffener Projekte kommen nach Artikel 24 Absatz 3 hinzu, dieser Artikel gilt allerdings erst ab dem 11.12.2027. Praktisch verlangt das eine belastbare Stückliste der eigenen Software. Ohne eine Übersicht über die verbauten Bibliotheken und deren Versionsstände bemerkt ein Hersteller die eigene Betroffenheit erst dann, wenn ein Kunde anruft und von einem laufenden Angriff auf seine Anlage berichtet. Importeure und Händler melden nicht selbst, sie informieren den Hersteller.

Neben der Pflichtmeldung sieht Artikel 15 freiwillige Meldungen vor. Jede natürliche und juristische Person darf danach Schwachstellen, Cyberbedrohungen, Vorfälle und Beinahe­vor­fälle einreichen. Die Plattform bietet diese Funktion Stand Oktober 2026 noch nicht an, ENISA kündigt sie für eine spätere Ausbaustufe an. Für Betreiber, die eine Auffälligkeit an einer Anlage sehen und den Hersteller nicht erreichen, wird das der einzige Weg in denselben Kanal.

Alles zum Cyber Resilience Act – Teil 4

Konformität und Konsequenzen des CRA

Der Betreiber merkt es zuerst

Im Werk kehrt sich die Reihenfolge um. Ein Angreifer nutzt eine Sicherheitslücke in einer Steuerung, der Betreiber sieht den Ausfall, der Hersteller erfährt davon über den Kunden. Damit hängt die 24-Stunden-Frist an einer Meldung, die aus der Fabrik kommt. Markus Seme, CEO des OT-Sicherheitsspezialisten BrightFlare in Graz und zuvor Teil der Geschäftsführung von BearingPoint Austria, beobachtet diesen Ablauf in laufenden Projekten. „Die Maschinen- und Anlagenbauer werden durch den Cyber Resilience Act gezwungen zu wissen, was bei ihren Kunden läuft, bis hinunter zur Software“, sagt er. „Die stehen unter Druck.“

Sein Team baut deshalb gemeinsam mit Maschinen- und Anlagenbauern Asset- und Schwachstellenerfassung auf, die bis in die installierte Basis reicht. Die Hersteller selbst kommen mit der automatisierten Erfassung nach seiner Beobachtung gut zurecht. Schwerer tun sich Betreiber, die ihr Asset Management bisher nicht gepflegt haben und nun in kurzer Zeit möglichst viel automatisiert nachholen wollen, ohne dass jemand die erfassten Bestände fachlich prüft. Für die Meldung reicht der Verdacht nicht. Ein Hersteller braucht belastbare Belege dafür, dass die Schwachstelle in seinem Produkt ausgenutzt wurde. Die Belege stecken in den Protokollen des Betreibers. Fernwartungssitzungen, Firewall-Protokolle vor dem Netzsegment und die Aufzeichnung der Steuerung liefern diese Belege. Fehlen sie, bleibt der Vorfall im Ungefähren. Der Hersteller meldet dann zu spät oder auf unsicherer Grundlage.

Sein Team deshalb gemeinsam mit Maschinen- und Anlagenbauern eine Asset- und Schwachstellenerfassungauf, die bis in die installierte Basis reicht. Die Hersteller selbst kommen mit der automatisierten Erfassung nach seiner Beobachtung gut zurecht. Schwerer tun sich Betreiber, die ihr Asset Management bisher nicht gepflegt haben und nun in kurzer Zeit möglichst viel automatisiert nachholen wollen, ohne dass jemand die erfassten Bestände fachlich prüft. Für die Meldung reicht der Verdacht nicht. Ein Hersteller braucht belastbare Belege dafür, dass die Schwachstelle in seinem Produkt ausgenutzt wurde. Die Belege stecken in den Protokollen des Betreibers. Fernwartungssitzungen, Firewall-Protokolle vor dem Netzsegment und die Aufzeichnung der Steuerung liefern diese Belege. Fehlen sie, bleibt der Vorfall im Ungefähren. Der Hersteller meldet dann zu spät oder auf unsicherer Grundlage.

Alles zum Cyber Resilience Act – Teil 1

Warum Produkte cybersicher werden müssen

Die Prüfstellen nehmen Anträge an

Beim zweiten Engpass hat sich die Lage gedreht. Bis zum 11. Dezember 2026 sollen sich die Mitgliedstaaten nach Artikel 35 Absatz 2 CRA darum bemühen, dass eine ausreichende Zahl von Konformitätsbewertungsstellen bereitsteht. Die Deutsche Akkreditierungsstelle nimmt Anträge dafür seit dem 28. Juli 2026 an, und zwar vor Inkrafttreten des deutschen Gesetzes. Das Verfahren zur Notifizierung beim BSI ist nach Angaben der Behörde pünktlich am 11. Juni 2026 gestartet.

Grundlage ist eine Verwaltungsvereinbarung, die beide Behörden am 25. September 2026 aktualisiert haben. Das BSI stellt Fachbegutachter und für Modul H ein behördliches Programm, das keine weitere Programmprüfung braucht. Eine Stelle, die nach Modul B prüfen will, wird als Zertifizierungsstelle für die EU-Baumusterprüfung tätig, bei Modul H für Managementsysteme in Entwicklung und Fertigung. Vor jedem Antrag steht ein Informationsgespräch, in dem der Geltungsbereich abgestimmt wird. Eine notifizierte Stelle brauchen Hersteller wichtiger Produkte der Klasse II und kritischer Produkte nach Anhang IV, sofern sie kein europäisches Zertifizierungsschema nutzen, sowie Hersteller von Produkten der Klasse I, die harmonisierte Normen nicht oder nur teilweise anwenden. Für sie entscheidet dieser Vorlauf darüber, ob sie bis Ende 2027 eine notifizierte Stelle finden.

Interview mit msg-Vorstand Karsten Redenius

CRA macht Cybersecurity zur Voraussetzung für das CE-Zeichen

Der Bundestag hat das deutsche Gesetz beschlossen

Als EU-Verordnung wirkt der CRA unmittelbar in den Mitgliedstaaten. Marktüberwachung, notifizierende Behörde, Unterstützung für kleinere Unternehmen und den Bußgeldrahmen regelt Deutschland dennoch selbst. Das Kabinett hat den Entwurf am 29. April 2026 beschlossen, der Bundesrat hat ihn am 12. Juni 2026 ohne Einwendungen passieren lassen.

Der Bundestag hat ihn im Juni in erster Lesung beraten und am 15. Oktober 2026 in der Fassung des Innenausschusses beschlossen. Der Ausschuss hat dabei den Zeitpunkt des Inkrafttretens einzelner Regelungen geändert. Es folgen der zweite Durchgang im Bundesrat sowie Ausfertigung und Verkündung im Bundesgesetzblatt. Inhaltlich bündelt es die Aufgaben beim BSI, das damit CSIRT, Marktüberwachung und Notifizierungsstelle in einer Hand hält.

Der Bundesverband IT-Sicherheit TeleTrusT hält die Bündelung im Ansatz für sinnvoll und die Ausstattung für unzureichend. In seiner Stellungnahme vom 01. April 2026 zum Referenten­ent­wurf des Bundesinnenministeriums rechnet der Verband vor, dass der Entwurf für Unterstützungsmaßnahmen 1,281 Millionen Euro jährlich vorsieht, während die Begründung zum NIS-2-Umsetzungsgesetz allein für Schulungen in der Bundesverwaltung rund 5,044 Millionen Euro jährlich ansetzt. Der Regierungsentwurf vom Mai 2026 hält an dem Betrag fest und ordnet ihn Sensibilisierungs- und Schulungsmaßnahmen des BSI zu. Kritisch sieht der Verband außerdem die Möglichkeit, Konformitätsbewertungsstellen ohne Akkreditierung zu notifizieren, sowie die offene Ausgestaltung des geplanten Reallabors für Cyberresilienz.

Für Hersteller ändert das an der Pflicht nichts. Die Meldung nach Artikel 14 läuft seit September über die Plattform der ENISA, unabhängig davon, wann das Durchführungsgesetz im Bundesgesetzblatt erscheint. Die europäischen Fristen laufen bis dahin unverändert weiter. Offen bleibt bis zur Verkündung, ab wann der deutsche Bußgeldrahmen und die Unterstützung für kleinere Hersteller greifen.

Security-Insider Podcast – Folge 114

So schaffen Sie Synergien zwischen CRA und NIS 2

Fazit

Seit dem 11. September 2026 zählt für Hersteller die Kenntnis, nicht der Patch. Die Plattform steht, ihre Anzeige ist in der ersten Fassung ungenau. Die Fristenuhr führt deshalb der Hersteller selbst. Ein Hersteller ohne Übersicht über die verbauten Komponenten und ohne Rückmeldekette aus dem Werk verpasst die 24 Stunden beim ersten ernsten Fall. Betreiber liefern die Belege, ohne die eine Meldung nicht belastbar wird, und ziehen daraus einen eigenen Vorteil, denn dieselben Protokolle brauchen sie für ihr Vorfallmanagement nach NIS-2, sofern sie darunter fallen. Die nächste Stufe steht am 11.Dezember 2027, die Prüfstellen dafür bauen sich jetzt auf.

Alles zum Cyber Resilience Act – Teil 1

Warum Produkte cybersicher werden müssen

(ID:50997554)