Die einheitliche Meldeplattform der ENISA: was Hersteller vor der ersten Meldung wissen sollten

01Kurz gesagt

• Gemeldet wird mit persönlichen EU-Login-Konten. Multi-Faktor-Authentifizierung ist Pflicht, Firmenkonten gibt es nicht.
• Die ENISA bittet Hersteller, sich erst dann zu registrieren und die Validierung anzustoßen, wenn eine Meldung ansteht. Während der Validierung kann bereits gemeldet werden.
• Die Wahl des koordinierenden CSIRT liegt in der Verantwortung des Herstellers. Eine falsche Wahl kann die Meldung ungültig machen.
• Die Plattform gibt es nur auf Englisch, und die erste Version hat keine API; Meldungen werden in der Weboberfläche erfasst.
• Die Fristanzeigen der Plattform dienen nur zur Information. Für den Abschlussbericht zu einer aktiv ausgenutzten Schwachstelle gibt es keine Anzeige; diese Frist überwacht der Hersteller selbst.
• Eine übermittelte Meldung kann der Hersteller nicht zurückziehen; schließen kann sie nur das koordinierende CSIRT.

02Was die Plattform leistet

Die SRP ist die Meldeplattform, die die ENISA nach Artikel 16 Absatz 1 des CRA eingerichtet hat und betreibt. Sie ging am 11. September 2026 in Betrieb, dem Tag, ab dem die Pflichten nach Artikel 14 gelten. Hersteller melden hier aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit ihrer Produkte auswirken, ein einziges Mal, statt jede nationale Behörde einzeln zu informieren.

Eine übermittelte Meldung erreicht das koordinierende CSIRT und die ENISA gleichzeitig. Das koordinierende CSIRT leitet sie an die CSIRTs der anderen Mitgliedstaaten weiter, in denen das Produkt bereitgestellt wird, und informiert bei Bedarf die Marktüberwachungsbehörden (Artikel 14 Absatz 1, Artikel 16). Anwendungsbereich, Fristen und Inhalte der Meldungen beschreibt der Leitfaden zu Artikel 14.

Pro Schwachstelle oder Sicherheitsvorfall genügt eine Meldung. Hat der Hersteller mehrere Niederlassungen oder Tochtergesellschaften in der EU oder sitzt die Muttergesellschaft außerhalb der EU, muss er intern klären, wer meldet (ENISA-FAQ 8).

Ist die Plattform vorübergehend nicht erreichbar, wartet der Hersteller, bis sie wieder verfügbar ist. Ist in der Zwischenzeit sofortiger Kontakt nötig, kann er sich direkt an das koordinierende CSIRT wenden; die Meldung muss trotzdem über die SRP nachgereicht werden, sobald sie wieder läuft (ENISA-FAQ 25).

Die Plattform nimmt derzeit nur Pflichtmeldungen an. Freiwillige Meldungen nach Artikel 15 kommen in einer späteren Phase hinzu. Für Verwalter quelloffener Software gelten die Meldepflichten ab dem 11. Dezember 2027 (ENISA-FAQ 4 und 27).

03Konten und Vertreter

Wer im Namen eines Herstellers meldet, heißt auf der Plattform benannter Vertreter (Assigned Representative, AR). Jeder AR meldet sich mit seinem eigenen EU-Login-Konto an. EU-Login-Konten sind persönlich, und Multi-Faktor-Authentifizierung (MFA) ist Pflicht. Eine eigene Unternehmensauthentifizierung nutzt die SRP nicht; ein gemeinsames Firmenkonto ist daher nicht möglich (ENISA-FAQ 9).

Ein Hersteller kann einen primären und bis zu 20 sekundäre Vertreter haben. Der primäre AR registriert sich, wählt das koordinierende CSIRT, erfasst die Herstellerdaten und lädt die sekundären AR ein. Einladen kann er erst, wenn seine eigene Verknüpfung mit dem Hersteller als „Verified“ angezeigt wird. Ein sekundärer AR kann die primäre Rolle beanspruchen, sofern das CSIRT zustimmt.

Alle mit dem Hersteller verknüpften AR sehen übermittelte Meldungen und können sie aktualisieren, gleich wer sie eingereicht hat. So kann ein anderer AR die 72-Stunden-Meldung oder den Abschlussbericht übernehmen. Entwürfe sind die Ausnahme: Sie liegen nur im Konto des AR, der sie angelegt hat, und sind für andere nicht sichtbar.

Die Verknüpfung zwischen AR und Hersteller validiert das koordinierende CSIRT; Verfahren und Bearbeitungszeit unterscheiden sich je nach CSIRT. Die Validierung blockiert keine Meldung: Ein noch nicht verifizierter AR kann für diesen Hersteller bis zu 20 Meldungen einreichen, bevor die Verifizierung verpflichtend wird.

Um den Prüfaufwand der CSIRTs zu begrenzen, bittet die ENISA, die Registrierung bei der SRP und die Validierung erst dann anzustoßen, wenn eine Meldung ansteht. Ein EU-Login-Konto lässt sich dagegen vorab anlegen; ist es vorhanden, dauert die Registrierung bei der SRP wenige Minuten. Es genügt also, jetzt die meldenden Personen zu benennen und ihre EU-Login-Konten samt MFA einzurichten.

04Das richtige CSIRT wählen

Welches koordinierende CSIRT die Meldung erhält, bestimmt der Hersteller und wählt es bei der Übermittlung aus. Wird das falsche CSIRT gewählt, kann die Meldung für ungültig erklärt werden und muss beim richtigen CSIRT erneut eingereicht werden (ENISA-FAQ 18). Da die gesetzlichen Fristen ab der Kenntniserlangung laufen, sollte diese Frage vor der ersten Meldung geklärt sein.

In der Regel ist es der Mitgliedstaat der Hauptniederlassung des Herstellers in der EU, also des Ortes, an dem die Entscheidungen über die Cybersicherheit seiner Produkte überwiegend getroffen werden. Lässt sich das nicht bestimmen, gilt der Mitgliedstaat der Niederlassung mit den meisten Beschäftigten in der EU (Artikel 14 Absatz 7).

Hersteller ohne Hauptniederlassung in der EU gehen in dieser Reihenfolge vor:

1. Der Mitgliedstaat, in dem der Bevollmächtigte für die meisten Produkte im Namen des Herstellers handelt.
2. Andernfalls der Mitgliedstaat, in dem der Einführer die meisten Produkte des Herstellers in Verkehr bringt.
3. Andernfalls der Mitgliedstaat, in dem der Händler die meisten Produkte des Herstellers auf dem Markt bereitstellt.
4. Trifft nichts davon zu, der Mitgliedstaat mit den meisten Nutzern der Produkte des Herstellers.

Das Formular zeigt den Mitgliedstaat des koordinierenden CSIRT automatisch an; die übrigen Mitgliedstaaten, in denen das Produkt bereitgestellt wird, ergänzen Sie selbst. Die ENISA veröffentlicht die Liste der koordinierenden CSIRTs mit Kontaktdaten. Für Hersteller, die von außerhalb der EU exportieren, heißt diese Reihenfolge: vorab dokumentieren, welcher Mitgliedstaat sich aus den Beziehungen zu Bevollmächtigtem, Einführer und Händler ergibt. Weitere Punkte für Hersteller außerhalb der EU enthält der Leitfaden zur CRA-Vorbereitung.

05Fristanzeigen und gesetzliche Fristen

Die SRP verwendet Fristanzeigen, um Erinnerungen per E-Mail zu senden und anzuzeigen, dass ein Bericht überfällig sein könnte. Nach Angabe der ENISA dienen sie nur der Übersicht; der Hersteller bleibt verpflichtet, nach Kenntniserlangung unverzüglich und innerhalb der Fristen des Artikels 14 zu melden (ENISA-FAQ 26).

Die 72-Stunden-Anzeige rechnet ab der Übermittlung der Frühwarnung, nicht ab der Kenntniserlangung. Wurde die Frühwarnung innerhalb von 24 Stunden übermittelt, zeigt sie nie einen späteren Zeitpunkt als die gesetzliche Grenze; bei einer früher gesendeten Frühwarnung einen früheren. Deshalb kann eine Meldung mitunter als „überfällig“ erscheinen, bevor 72 Stunden vergangen sind. Laut ENISA soll eine spätere Version die Frist aus dem im Formular erfassten Zeitpunkt der Kenntniserlangung berechnen.

Wirklich aufpassen muss man beim Abschlussbericht. Bei aktiv ausgenutzten Schwachstellen hängt die Frist davon ab, wann eine Korrekturmaßnahme verfügbar ist; die Plattform hat dafür keine Anzeige und schickt keine Erinnerung. Tragen Sie die 14-Tage-Frist am Tag der Veröffentlichung des Updates in Ihren eigenen Kalender ein. Bei schwerwiegenden Sicherheitsvorfällen beträgt die Frist einen Monat nach der 72-Stunden-Meldung.

Der Zeitpunkt der Kenntniserlangung wird in UTC erfasst und ist in der Frühwarnung Pflicht. Ist die genaue Uhrzeit unbekannt, wird die am besten belegte Schätzung eingetragen und in der Beschreibung als Schätzung gekennzeichnet (SRP Glossary v1.6). Wer auch interne Aufzeichnungen in UTC führt, kann später leichter abgleichen.

06Was das Formular abfragt

Das SRP Glossary der ENISA beschreibt das Formular Feld für Feld: Bedeutung, Ausfüllhinweise, erwartetes Format und in welchem Schritt ein Feld Pflicht ist. Wenn die meldende Person und das Team, das den Inhalt vorbereitet, nicht dieselben sind, eignet es sich als gemeinsame Referenz. Die wichtigsten Pflichtfelder:

• Frühwarnung (24 Stunden): Art der Meldung (aktiv ausgenutzte Schwachstelle oder schwerwiegender Sicherheitsvorfall), Titel (bis 255 Zeichen), Zusammenfassung (bis 4.000 Zeichen), Mitgliedstaaten, in denen das Produkt bereitgestellt wird, Produktname, betroffene Versionen und Zeitpunkt der Kenntniserlangung. Bei Sicherheitsvorfällen ist zusätzlich anzugeben, ob ein rechtswidriges oder böswilliges Handeln vermutet wird.
• 72-Stunden-Meldung: bei einer Schwachstelle allgemeine Informationen zur Ausnutzung und zur Schwachstelle; bei einem Sicherheitsvorfall seine Art und eine erste Bewertung. In der Meldung einer Schwachstelle kann, wenn eine der Voraussetzungen des Artikels 16 Absatz 2 vorliegt, beantragt werden, die Weitergabe an andere Mitgliedstaaten aufzuschieben (particularly exceptional circumstances, PEC).
• Abschlussbericht: ergriffene Korrektur- oder Risikominderungsmaßnahmen und solche, die Nutzer ergreifen können. Bei einer Schwachstelle außerdem Beschreibung von Schweregrad und Auswirkungen, Datum, ab dem die Korrekturmaßnahme verfügbar war, Einzelheiten des Updates und, soweit bekannt, der böswillige Akteur; bei einem Sicherheitsvorfall Schweregrad und Auswirkungen sowie Art der Bedrohung oder Grundursache.

Felder wie CVE- und EUVD-Kennung, CRA-Klasse des Produkts, Komponentenname und ob der Unterstützungszeitraum abgelaufen ist, sind optional. Die ENISA erwartet, dass sie ausgefüllt werden, wenn die Information vorliegt und relevant ist (ENISA-FAQ 16).

07Nach der Übermittlung

Eine übermittelte Meldung kann der Hersteller nicht zurückziehen. Schließen kann sie nur das koordinierende CSIRT. Wer eine versehentlich gesendete Meldung schließen lassen will, wendet sich an das CSIRT oder trägt die Bitte im Feld für zusätzliche Anmerkungen der Meldung ein (ENISA-FAQ 34). Die ENISA bittet deshalb, vor einer Meldung das Benutzerhandbuch sorgfältig zu lesen.

Ist eine gemeldete Schwachstelle öffentlich bekannt, kann die ENISA den Hersteller kontaktieren, um zu klären, ob und wann sie in die Europäische Schwachstellendatenbank (EUVD) aufgenommen werden kann. Als CVE Numbering Authority kann die ENISA auch bei der Vergabe einer CVE-Kennung helfen (ENISA-FAQ 35, Artikel 17 Absatz 5).

08Ausnutzungen vor dem 11. September 2026

Die Pflicht entsteht, sobald der Hersteller Kenntnis erlangt. Hatte er schon vor dem 11. September 2026 Kenntnis von einer aktiven Ausnutzung, muss er sie nicht rückwirkend melden. Erlangt er erst danach Kenntnis, gilt die Meldepflicht, auch wenn die Schwachstelle schon vorher bestand oder bekannt war (ENISA-FAQ 13, Kommissions-FAQ 5.3).

Die Pflicht gilt für alle Produkte im Anwendungsbereich des CRA, auch für solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Artikel 69 Absatz 3). Wird eine Schwachstelle in einer integrierten Komponente in Ihrem Produkt aktiv ausgenutzt, melden Sie sie als Hersteller des Produkts; wurde die Komponente selbst in Verkehr gebracht, meldet auch ihr Hersteller. Lässt sich die Schwachstelle in Ihrem Produkt nicht ausnutzen, ist keine Pflichtmeldung nötig (Kommissions-FAQ 5.4).

09Checkliste

1. Primäre und sekundäre AR namentlich benennen und Wochenenden sowie Feiertage einplanen.
2. Persönliche EU-Login-Konten und MFA dieser Personen jetzt einrichten. Die Registrierung bei der SRP erst vornehmen, wenn eine Meldung ansteht.
3. Das koordinierende CSIRT nach Artikel 14 Absatz 7 bestimmen, die Begründung festhalten und die Kontaktdaten aus der ENISA-Liste notieren.
4. Produktnamen, betroffene Versionsbereiche und die Mitgliedstaaten, in denen jedes Produkt bereitgestellt wird, bereithalten; sie sind in der Frühwarnung Pflicht.
5. Schriftlich festlegen, wer den Zeitpunkt der Kenntniserlangung bestimmt und wie er dokumentiert wird; die Uhrzeit in UTC führen.
6. Inhalte auf Englisch vorbereiten und den Entwurf dort ablegen, wo das ganze Team ihn erreicht; SRP-Entwürfe sieht nur der AR, der sie angelegt hat.
7. Bei Schwachstellen die 14-Tage-Frist für den Abschlussbericht am Tag der Veröffentlichung des Updates in den eigenen Kalender eintragen; die Plattform zeigt sie nicht an.
8. Vor dem Absenden koordinierendes CSIRT und Art der Meldung prüfen; eine übermittelte Meldung lässt sich nicht zurückziehen.

Die Fristen für Ihre eigenen Daten berechnet der Rechner im Leitfaden zu Artikel 14; den Gesamtrahmen der Pflichten beschreibt der CRA-Leitfaden.

Die TegmenSoft-Plattform bereitet Entwürfe nach Artikel 14 in der Feldreihenfolge des SRP-Formulars vor; die Meldung übermittelt der Hersteller.

10Häufige Fragen