Nexvyra

CRA-Meldepflichten seit 11. September 2026 anwendbar – BSI erläutert den Meldeweg über die ENISA-Plattform CRA-SRP

Veröffentlicht: 2026-09-12 · Ereignis: 2026-09-11 · behoerden

# CRA-Meldepflichten seit 11. September 2026 anwendbar – BSI erläutert den Meldeweg über die ENISA-Plattform CRA-SRP

Kurzmeldung

Seit dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act (CRA). Das BSI hat dazu am 10. September 2026 seine Themenseite zur CRA Single Reporting Platform (CRA-SRP) aktualisiert und beschreibt darin erstmals ausführlich den konkreten Meldeweg, die Rollen auf der Plattform und die Abgrenzung der beiden meldepflichtigen Ereigniskategorien. Betroffen sind Hersteller von Produkten mit digitalen Elementen, die ihre Produkte auf dem EU-Binnenmarkt bereitstellen.

Kernfakten

| Punkt | Wert | |---|---| | Datum | 2026-09-11 (Geltungsbeginn der Meldepflichten); BSI-Seitenstand 10.09.2026 | | Gericht/Institution | BSI (CRA-Marktüberwachung und CERT-Bund als koordinierendes CSIRT); ENISA (Betrieb der Plattform) | | Aktenzeichen | Verordnung (EU) 2024/2847 (Cyber Resilience Act) | | Rechtsgrundlage | Art. 3 Nr. 42 und Nr. 44 CRA (Begriffe), Art. 14 Abs. 2, 3, 5 und 7 CRA (Meldepflichten, Fristen, zuständiges CSIRT), Art. 24 Abs. 3 CRA (Open-Source-Software-Stewards) | | Meldeplattform | CRA-SRP der ENISA, https://portal.cra-srp.enisa.europa.eu/ — EU-Login-Konto erforderlich, Meldungen auf Englisch | | Wirkung | Meldepflichten anwendbar seit 11.09.2026; die übrigen Bestimmungen des CRA gelten laut BSI grundsätzlich ab 11.12.2027 |

Was das bedeutet

Meldepflichtig sind zwei klar abgegrenzte Ereigniskategorien. Eine aktiv ausgenutzte Schwachstelle im Sinne von Art. 3 Nr. 42 CRA setzt nach der BSI-Darstellung beides voraus: Die Schwachstelle muss in einem Produkt mit digitalen Elementen liegen, und es müssen belastbare Hinweise auf eine tatsächliche Ausnutzung in realen Systemen vorliegen. Ein veröffentlichter Exploit, Proof-of-Concept-Code oder Portscans genügen ausdrücklich nicht; eine grundsätzlich ausnutzbare, aber nicht aktiv ausgenutzte Schwachstelle unterliegt der Meldepflicht nicht. Ein schwerwiegender Sicherheitsvorfall liegt vor, wenn er die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten beziehungsweise Funktionen zu schützen, oder wenn er zur Einschleusung oder Ausführung schädlichen Codes im Produkt oder im Netzwerk eines Nutzers geführt hat oder führen kann. Das BSI stellt dazu klar: Ein Ransomware-Vorfall beim Hersteller ist nicht automatisch ein schwerwiegender Sicherheitsvorfall im Sinne des CRA.

Der Meldeprozess ist dreistufig und fristgebunden: Frühwarnung binnen 24 Stunden, detailliertere Meldung binnen 72 Stunden, Abschlussbericht bei einer Schwachstelle spätestens 14 Tage nach Bereitstellung einer Abhilfe- oder Schutzmaßnahme, bei einem schwerwiegenden Sicherheitsvorfall einen Monat nach der vorherigen detaillierteren Meldung. Die Meldung wird nur einmal übermittelt und gleichzeitig dem koordinierenden CSIRT und der ENISA zugänglich gemacht; das koordinierende CSIRT kann sie an weitere CSIRTs und erforderlichenfalls an die Marktüberwachungsbehörden weitergeben.

Praktisch relevant sind vier Punkte der BSI-Seite. Erstens besteht vor dem Bedarf einer Meldung keine Registrierungspflicht — Registrierung und Meldungsabgabe sind laut BSI im Bedarfsfall innerhalb weniger Minuten umsetzbar. Zweitens meldet eine benannte Vertretungsperson (*Assigned Representative*); das BSI unterscheidet Primary und Secondary AR, wobei der Secondary AR über eine Einladungsfunktion eingerichtet werden muss und gespeicherte Entwürfe nur für die anlegende Person sichtbar sind. Drittens ist bei vorübergehender Nichterreichbarkeit der Plattform ausnahmsweise per E-Mail an CERT-Bund zu melden. Viertens kann ein Vorfall zugleich nach NIS-2 und nach dem CRA meldepflichtig sein und ist dann über beide Wege zu melden; der von der EU-Kommission vorgeschlagene Digital Omnibus sieht insoweit eine Entlastung vor, ist aber noch nicht beschlossen.

Ausdrücklich ersetzt die Meldung über die CRA-SRP keine anderen Herstellerpflichten, etwa betroffene Nutzerinnen und Nutzer zu informieren und ihnen geeignete Schutzmaßnahmen zu empfehlen. Das zuständige nationale CSIRT richtet sich grundsätzlich nach der Hauptniederlassung des Herstellers in der EU; für Hersteller ohne EU-Niederlassung gelten die weiteren Kriterien des Art. 14 Abs. 7 CRA.

Für vertiefte Information

Quelle

Stand

Passende Themen