CRA-Melderegister: Fristen und Felder der einheitlichen Meldeplattform

• zählt die Frühwarnung (24 Stunden) und die Meldung (72 Stunden) ab dem Moment, in dem Sie Kenntnis erlangt haben, in Ihrer Ortszeit und in UTC;
• zählt den Abschlussbericht: 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme für eine Schwachstelle verfügbar ist, einen Monat nach Einreichen der Meldung bei einem Sicherheitsvorfall;
• listet die Felder der Plattform mit den Nummern der ENISA, dem Schritt, der sie verlangt, und der Zeichengrenze, und kopiert die Antworten eines Schritts zum Einfügen;
• zeigt, an welches CSIRT Sie nach Artikel 14 Absatz 7 melden, auch wenn Sie keine Niederlassung in der EU haben;
• entwirft aus Ihren Angaben die Mitteilung an die Nutzer, die Artikel 14 Absatz 8 verlangt.

Der Zähler der Plattform zeigt die 72-Stunden-Frist derzeit als 48 Stunden nach dem Einreichen der Frühwarnung an, und für den Abschlussbericht zu einer Schwachstelle gibt es keinen Zähler (Fragen und Antworten der ENISA, 3. Oktober 2026). Laut ENISA sind die Zähler nur Hilfen; die gesetzliche Frist bleibt. Diese Seite zählt wie Artikel 14 ab dem Moment, in dem Sie Kenntnis erlangt haben.

Sie melden eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt: eine, bei der verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Eigners ausgenutzt hat (Artikel 3 Nummer 42). Nach den Fragen und Antworten der Kommission gehört eine Schwachstelle, die beim Testen gefunden oder von einem Forscher in gutem Glauben gemeldet wurde, ohne Nachweis einer böswilligen Ausnutzung nicht dazu. Sie melden außerdem einen schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit Ihres Produkts auswirkt (Artikel 14 Absatz 5). Eine Meldung deckt eine Schwachstelle oder einen Vorfall ab, auch wenn Sie mehrere Niederlassungen in der EU haben.

Artikel 64 Absatz 2 sieht für Verstöße gegen Artikel 14 Geldbußen von bis zu 15 Mio. EUR oder, bei Unternehmen, von bis zu 2,5 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Nach Artikel 64 Absatz 10 Buchstabe a gelten diese Geldbußen nicht für Kleinstunternehmen und kleine Unternehmen, wenn sie die 24-Stunden-Frist der Frühwarnung versäumen; keine andere Frist ist erfasst. Artikel 14 gilt seit dem 11. September 2026. Artikel 64 gehört nicht zu den vorgezogenen Bestimmungen und gilt daher ab dem 11. Dezember 2027 (Artikel 71 Absatz 2).

Die Regeln selbst stehen auf der Seite CRA-Meldepflichten; ob die Verordnung Ihr Produkt überhaupt erfasst, steht auf der Seite zur Cyberresilienz-Verordnung.

Diese Seite sendet nichts an die ENISA: Sie reichen selbst auf der einheitlichen Meldeplattform ein. Ihre Eingaben verlassen Ihren Browser nicht und werden nicht gespeichert; laden Sie daher die Registerdatei herunter. Feldliste und Leitfäden der ENISA können sich ändern, und die Leitlinien der Kommission sind nicht verbindlich. Dies ist keine Rechtsberatung.