Cyber Resilience Act: Die 24-Stunden-Meldepflicht startet
Ab 11. September greifen die Meldepflichten des Cyber Resilience Act. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle binnen 24 Stunden melden. Die neue ENISA-Plattform bündelt die Meldungen EU-weit. Damit wird ein zentraler Teil des CRA für Hersteller bereits jetzt praktisch relevant.
Für Hersteller von Hard- und Software wird die Reaktion auf Sicherheitslücken ab Freitag zur Terminsache. Am 11. September greifen die Meldepflichten des Cyber Resilience Act (CRA). Wer von einer aktiv ausgenutzten Schwachstelle oder einem schweren Sicherheitsvorfall erfährt, muss innerhalb von 24 Stunden eine erste Warnung abgeben.
Der CRA gilt bereits seit Dezember 2024, die meisten Vorgaben greifen aber erst ab 11. Dezember 2027. Die Meldepflichten aus Artikel 14 wurden vorgezogen.
Nach 24 Stunden folgt die nächste Frist
Gemeldet werden muss nicht jede neu entdeckte Sicherheitslücke. Der CRA verlangt eine Meldung, wenn belastbare Hinweise vorliegen, dass eine Schwachstelle bereits ohne Erlaubnis ausgenutzt wurde. Auch schwere Sicherheitsvorfälle, die sich auf die Sicherheit eines Produkts auswirken, fallen darunter.
Nach der ersten Warnung folgt spätestens nach 72 Stunden eine ausführlichere Meldung mit einer ersten Bewertung. Bei aktiv ausgenutzten Schwachstellen ist spätestens 14 Tage nach Bereitstellung einer Korrektur ein Abschlussbericht fällig. Bei schweren Sicherheitsvorfällen beträgt die Frist einen Monat nach der 72-Stunden-Meldung.
Im Ernstfall müssen Hersteller deshalb schnell feststellen, welche Produkte und Versionen betroffen sind und ob eine Schwachstelle tatsächlich ausgenutzt wird. Dafür müssen Entwicklung, Product-Security, Support und Incident-Response zusammenspielen.
ENISA startet zentrale Meldeplattform
Die Meldungen laufen über die neue Single Reporting Platform (SRP) der EU-Agentur ENISA. Sie geht ebenfalls am 11. September in Betrieb. Hersteller geben ihre Meldung dort zentral ab und bestimmen das nach den CRA-Regeln zuständige koordinierende Computer Security Incident Response Team (CSIRT). Die Meldung steht gleichzeitig ENISA zur Verfügung. Das koordinierende CSIRT verteilt sie an weitere betroffene nationale CSIRTs.
Für den Zugang ist ein EU-Login mit Multifaktor-Authentifizierung erforderlich. Die Plattform unterstützt zum Start die verpflichtenden Meldungen zu aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen.
Wichtig ist die Übergangsregel: Die Meldepflicht gilt auch für Produkte mit digitalen Elementen, die bereits vor dem 11. Dezember 2027 auf den europäischen Markt gebracht wurden. Hersteller können mit den nötigen Meldeprozessen also nicht bis Ende 2027 warten.
24 Stunden lassen wenig Spielraum
Wie knapp die Frist in der Praxis werden kann, zeigt eine aktuelle ONEKEY-Umfrage unter 200 deutschen Industrieunternehmen. 62 Prozent der Befragten sehen die Meldung innerhalb von 24 Stunden als Herausforderung. Die Studie stammt von einem Anbieter für Product-Cybersecurity und CRA-Compliance.
Vulnerability-Management und Software-Stücklisten helfen dabei, die Frist einzuhalten. Hersteller müssen bei einer ausgenutzten Komponente schnell feststellen können, in welchen Produkten und Versionen sie steckt. Bei komplexen Software-Lieferketten dürfte das ohne eine aktuelle Übersicht schwierig werden.
Der Cyber Resilience Act gilt damit zwar noch nicht vollständig. Für Hersteller greifen ab 11. September aber die Meldepflichten: Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle müssen innerhalb enger Fristen auf EU-Ebene gemeldet werden.