CRA-Meldepflicht: ein Monat Praxis

Ja, das kann passieren. Seit dem 11. September 2026 müssen Hersteller, die Produkte auf dem EU-Markt anbieten, aktiv ausgenutzte Schwachstellen in ihren Produkten melden. So verlangt es Artikel 14 des Cyber Resilience Act (CRA). Die Frist beginnt, wenn Sie davon erfahren. Nicht, wenn der Fehler entstanden ist. Ein Fehler in einem Gerät, das Sie vor Jahren ausgeliefert haben, kann Ihre 24 Stunden also morgen früh starten.

Einen Monat später ist die Meldeplattform der ENISA in Betrieb, und die Uhren laufen. Die meisten Unternehmen, mit denen ich spreche, haben sie noch nicht ticken hören. Oder sie sind sicher, dass sie nur für die Entwicklungen anderer ticken. So sieht der erste Monat in der Praxis aus. Nicht die Fassung aus der Broschüre.

Welche Fristen gelten?

Für eine aktiv ausgenutzte Schwachstelle gibt es drei Schritte:

24 Stunden für die Frühwarnung.
72 Stunden für die Meldung mit einer ersten Einschätzung.
14 Tage, nachdem eine Korrektur oder Abhilfe verfügbar ist, für den Abschlussbericht.

Für schwerwiegende Sicherheitsvorfälle gilt dasselbe Muster mit 24 und 72 Stunden. Der Abschlussbericht ist dort einen Monat nach der 72-Stunden-Meldung fällig.

Gemeldet wird nicht jede Schwachstelle. Es geht um Schwachstellen, die tatsächlich ausgenutzt werden, und um schwerwiegende Vorfälle. Das klingt nach wenig. Aber ob eine Schwachstelle ausgenutzt wird, entscheiden nicht Sie. Das entscheiden die Angreifer.

Die Meldefristen nach Artikel 14 für eine aktiv ausgenutzte Schwachstelle. Die ersten beiden Fristen laufen ab Kenntnis, der Abschlussbericht ab der verfügbaren Korrektur.

Wann beginnt die Uhr?

In dem Moment, in dem Sie Kenntnis erlangen. Nicht, wenn die CVE veröffentlicht wurde. Und der Satz „Ich habe es wirklich erst heute Morgen erfahren“ ist kein Nachweis.

Kenntnis ist für mich ein Zeitstempel in Ihrem System, kein Gefühl. Wenn später jemand fragt, wann Sie es wussten, brauchen Sie eine Antwort, die nicht aus der Erinnerung kommt. Eine E-Mail an den Support, ein Ticket, ein Anruf eines Kunden: Jeder dieser Wege kann der Anfang sein, sobald sie verlässliche Hinweise auf eine Ausnutzung enthält.

Warum zählt ein Fehler von 2021?

Weil das Alter des Fehlers keine Rolle spielt. Am 8. Oktober 2026 hat die US-Behörde CISA fünf Schwachstellen in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen. Keine davon ist neu. Die älteste ist von 2015, eine ist von 2021, die jüngste von 2023. Betroffen sind unter anderem ISC BIND, ProFTPD und Apache Struts. Das sind Bausteine, die in vielen Geräten und Systemen stecken.

Ende September hat GreyNoise außerdem eine Welle von Angriffsversuchen auf Hikvision-Kameras in der Ukraine beobachtet. Die Lücke dahinter ist ebenfalls von 2021. Der Hersteller hat sie damals mit einem Firmware-Update geschlossen. Die Kameras ohne Update hängen trotzdem noch im Netz.

Für einen Hersteller heißt das: Eine Entwicklung, die Sie vor Jahren ausgeliefert haben, kann Ihre 24 Stunden morgen früh starten. Dafür reicht ein Baustein darin, dessen Schwachstelle heute ausgenutzt wird, und eine Nachricht darüber. Ob sie auch in Ihrem Produkt ausgenutzt wird, müssen Sie dann schnell prüfen und später begründen können. Die Meldepflicht gilt auch für Produkte, die schon vor dem 11. September auf dem Markt waren.

Muss ich Altes nachmelden?

Nein, und das ist die gute Nachricht. Eine aktive Ausnutzung, von der Sie schon vor dem 11. September 2026 wussten, müssen Sie nicht nachträglich melden. So steht es in den FAQ der ENISA.

Die schlechte Nachricht steht direkt daneben. Wenn Sie nach diesem Datum Kenntnis erlangen, gilt die Pflicht. Auch dann, wenn der Fehler von 2021 ist.

Wer schickt die Meldung ab?

Ein Mensch. Ihre Software kann die Meldung nicht automatisch senden. Die Plattform der ENISA hat in ihrer ersten Version keine Programmierschnittstelle. Eine reale Person tippt die Meldung von Hand ein. Sie braucht ein EU-Login mit Mehr-Faktor-Authentifizierung und muss auf der Plattform als zuständige Person (Assigned Representative) Ihres Unternehmens eingetragen sein. Die Konten sind persönlich.

Parallel prüft das zuständige nationale CSIRT, ob diese Person wirklich für Ihr Unternehmen handelt. Vor dieser Prüfung können Sie bis zu 20 Meldungen abgeben. Die Prüfung hält Sie also nicht auf. Wie lange sie dauert, hängt vom CSIRT ab. Im ersten öffentlichen Erfahrungsbericht, den ich kenne, hat das belgische CSIRT drei Arbeitstage gebraucht.

Das ist kein Hindernis. Aber niemand möchte um 23:40 Uhr an einem Freitag ein EU-Konto anlegen, während die 24 Stunden laufen.

Wichtig ist die Wahl des CSIRT. In der Regel ist es das CSIRT des Mitgliedstaats, in dem Ihr Unternehmen seine Hauptniederlassung in der EU hat. Wer das falsche wählt, riskiert, dass die Meldung ungültig ist und neu eingereicht werden muss. Das kostet genau die Stunden, die man nicht hat.

Gibt es schon harmonisierte Normen?

Entwürfe gibt es. Die übergreifenden Normen entstehen bei CEN und CENELEC, die Normen für einzelne Produktgruppen überwiegend bei ETSI. Im Amtsblatt der EU ist aber noch keine harmonisierte Norm zum CRA veröffentlicht. Erst wenn eine Norm dort steht, kann ein Hersteller davon ausgehen, dass er mit ihr die Anforderungen erfüllt. Die Anforderungen aus Anhang I gelten ab dem 11. Dezember 2027. Bis dahin sollen die Normen fertig sein.

Für die Meldepflicht ist das zweitrangig. Die Fristen stehen in der Verordnung selbst. Auf eine Norm zu warten, verschiebt hier nichts.

Was war für uns der schwierige Teil?

Wir sind das für unsere eigenen Entwicklungen durchgegangen. Der Prozess war nicht das Schwierige. Schwierig war eine einzige Frage: Wer nimmt um 23:40 Uhr an einem Freitag das Telefon ab, und weiß diese Person, dass sie gemeint ist?

Wir haben inzwischen eine Antwort. Sie ist kein PDF.

Was würde ich jetzt prüfen?

Vier Fragen, die wenig Aufwand kosten:

Wer in Ihrem Unternehmen erfährt als Erstes von einer ausgenutzten Schwachstelle? Der Support, der Vertrieb, die Entwicklung oder ein Kunde?
Wer meldet auf der Plattform, hat diese Person schon ein EU-Login, und wer vertritt sie am Wochenende?
Welches nationale CSIRT ist für Ihr Unternehmen zuständig?
Wo wird festgehalten, wann Sie wovon erfahren haben?

Wenn diese Fragen beantwortet sind, sind 24 Stunden machbar. Wenn nicht, sind sie sehr kurz.

Was ist meine Frage an Sie?

Wer ist in Ihrem Unternehmen die Person, die als Erste „Kenntnis erlangt“? Und weiß diese Person das?

Ein Fehler von 2021 kann Ihre 24-Stunden-Uhr starten