ENISA Single Reporting Platform: Vorbereitung auf CRA-Meldungen

Die rechtlichen Aussagen wurden am 21. Oktober 2026 anhand des im Amtsblatt veröffentlichten Textes der Verordnung (EU) 2024/2847 geprüft. Die Angaben zum Betrieb stammen von den öffentlichen ENISA-Seiten mit Stand dieses Datums (FAQ „Aktualisiert: 15. Oktober 2026“). ENISA ändert die Plattform und ihre Hinweise. Prüfen Sie diese deshalb erneut, bevor Sie sich darauf verlassen. Diese Seite bietet Informationen, keine Rechtsberatung. Sie entscheidet nicht darüber, ob ein Ereignis meldepflichtig ist.

Die ersten beiden Meldefristen beginnen mit der Kenntnis. Das Öffnen des Portals setzt diese Fristen nicht in Gang. Diese Unterscheidung gehört zur Vorbereitung, bevor jemand eine Meldung übermitteln muss.

Was die Single Reporting Platform leistet

Die Single Reporting Platform, kurz SRP, ist die einheitliche Meldeplattform nach Art. 16 der Cyberresilienz-Verordnung. ENISA richtet sie ein und übernimmt Verwaltung und Wartung im laufenden Betrieb. Art. 16 Abs. 1 erfasst die verpflichtenden Meldungen nach Art. 14 Abs. 1 und 3 sowie die freiwilligen Meldungen nach Art. 15 Abs. 1 und 2.

Der genannte Zweck ist die „Vereinfachung der Meldepflichten der Hersteller“ (Art. 16 Abs. 1). Hersteller melden über die Plattform gleichzeitig an das als Koordinator benannte CSIRT und ENISA (Art. 14 Abs. 1 und 3). Die Architektur ermöglicht den Mitgliedstaaten und ENISA eigene elektronische Meldeendpunkte. Die Meldung wird über den Endpunkt des zuständigen als Koordinator benannten CSIRT übermittelt (Art. 16 Abs. 1; Art. 14 Abs. 7).

Das CSIRT, das die Meldung zuerst erhält, leitet sie unverzüglich über die Plattform an die als Koordinatoren benannten CSIRT in den Mitgliedstaaten weiter, in denen das Produkt nach Angaben des Herstellers bereitgestellt wurde (Art. 16 Abs. 2). In Ausnahmefällen darf diese Weiterleitung aus gerechtfertigten Gründen der Cybersicherheit verzögert werden (Art. 16 Abs. 2; Delegierte Verordnung (EU) 2026/881 der Kommission). In den besonders außergewöhnlichen Umständen nach Art. 16 Abs. 2 Unterabs. 3 erhält ENISA zunächst nur eingeschränkte Informationen. Eine Meldung an die vorgesehenen Empfänger bedeutet keine uneingeschränkte Weitergabe.

Die öffentliche ENISA-Seite erklärt den Dienst. Meldungen übermitteln Sie über das Portal. Nach Angaben von ENISA ist die Plattform seit dem 11. September 2026 in Betrieb und unter portal.cra-srp.enisa.europa.eu (öffnet sich in einem neuen Tab) erreichbar (ENISA-Seite zur SRP; FAQ 4 und 28).

Wer nutzt sie und für welche Ereignisse?

Art. 14 verpflichtet Hersteller zu Meldungen. Er erfasst eine aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen sowie einen schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit eines solchen Produkts auswirkt. Das sind unterschiedliche Meldegründe (Art. 14 Abs. 1, 3 und 5). Art. 14 gilt ab dem 11. September 2026 (Art. 71 Abs. 2).

Ein Schwachstellenfund ist ein Anlass, die Lage zu bewerten. Er sollte nicht automatisch zu einer Entscheidung für eine Meldung nach Art. 14 führen. Der Hersteller muss prüfen, ob der einschlägige gesetzliche Auslöser vorliegt, und die Nachweise dokumentieren. Eine aktiv ausgenutzte Schwachstelle setzt verlässliche Nachweise dafür voraus, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat (Art. 3 Nr. 42).

Art. 15 sieht freiwillige Meldungen vor. Hersteller und andere natürliche oder juristische Personen können einem als Koordinator benannten CSIRT oder ENISA jede Schwachstelle und Cyberbedrohungen melden, die das Risikoprofil eines Produkts beeinflussen könnten (Art. 15 Abs. 1). Sie können auch jeden Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts sowie Beinahe-Vorfälle melden, die zu einem solchen Sicherheitsvorfall hätten führen können (Art. 15 Abs. 2). Eine freiwillige Meldung und die Entscheidung, dass eine Meldepflicht besteht, müssen getrennt bleiben.

Nach Angaben von ENISA unterstützt die Plattform noch keine freiwilligen Meldungen nach Art. 15. Derzeit können nur Hersteller verpflichtende Meldungen nach Art. 14 übermitteln. Personen, die keine Hersteller sind, sollen sich direkt an das zuständige nationale CSIRT wenden (FAQ 4, 27 und 30). Für Verwalter quelloffener Software gelten ab dem 11. Dezember 2027 Meldepflichten nach Art. 24 Abs. 3 (Art. 71 Abs. 2).

Die Glossarerklärung zur einheitlichen Meldeplattform und der Leitfaden zu Art. 14 erläutern die zugehörigen Begriffe und Fristen.

Die Frist läuft schon vor dem Formular

Die ersten beiden Fristen laufen ab dem Zeitpunkt, zu dem der Hersteller Kenntnis erlangt. Ein Konto anzulegen oder einen Entwurf zu beginnen setzt diese Fristen nicht in Gang. Beide Stufen verlangen unverzügliches Handeln innerhalb der jeweils angegebenen Höchstfrist (Art. 14 Abs. 2 Buchst. a und b sowie Abs. 4 Buchst. a und b).

Der Abschlussbericht zur Schwachstelle enthält mindestens eine Beschreibung der Schwachstelle mit ihrem Schweregrad und ihren Auswirkungen, soweit verfügbar Informationen über jeden böswilligen Akteur, der sie ausgenutzt hat oder ausnutzt, sowie Angaben zur bereitgestellten Sicherheitsaktualisierung oder zu anderen bereitgestellten Korrekturmaßnahmen (Art. 14 Abs. 2 Buchst. c).

Der Abschlussbericht zum schwerwiegenden Sicherheitsvorfall enthält mindestens eine ausführliche Beschreibung des Sicherheitsvorfalls mit seinem Schweregrad und seinen Auswirkungen, die Art der Bedrohung oder die Ursache, die ihn wahrscheinlich ausgelöst hat, sowie angewandte und laufende Risikominderungsmaßnahmen (Art. 14 Abs. 4 Buchst. c). Verwenden Sie die Checkliste für das Ereignis, das Sie melden. Die Checkliste für den Abschlussbericht zur Schwachstelle ersetzt nicht die Checkliste zum schwerwiegenden Sicherheitsvorfall.

Bei Bedarf kann das CSIRT, das die Meldung zuerst erhalten hat, einen Zwischenbericht über relevante Statusänderungen anfordern (Art. 14 Abs. 6). Nach Angaben von ENISA kann jeder zugeordnete Vertreter desselben Herstellers eine Meldung in späteren Stufen aktualisieren (FAQ 9). Führen Sie die Dokumentation über diese Stufen hinweg weiter. Das erste Formular zu übermitteln ist nur ein Teil der Arbeit.

Welches CSIRT erhält die Meldung?

Empfänger ist das als Koordinator benannte CSIRT, also ein gemäß Art. 12 Abs. 1 der Richtlinie (EU) 2022/2555 benanntes CSIRT (Art. 3 Nr. 51). Ein vertrauter Name eines Reaktionsteams oder die Nähe zum betroffenen Kunden reicht für die Auswahl des Empfängers nicht aus. ENISA veröffentlicht eine Liste der als Koordinatoren benannten CSIRT. Nach Angaben von ENISA kann eine Meldung an das falsche CSIRT für ungültig erklärt werden und muss dann beim richtigen CSIRT erneut eingereicht werden (FAQ 18).

Ein Hersteller mit Hauptniederlassung in der Union meldet an das als Koordinator benannte CSIRT dieses Mitgliedstaats. Die Hauptniederlassung liegt in dem Mitgliedstaat, in dem überwiegend die Entscheidungen zur Cybersicherheit seiner Produkte getroffen werden. Lässt sich das nicht bestimmen, ist es der Mitgliedstaat, in dem der Hersteller seine Niederlassung mit den meisten Beschäftigten in der Union hat (Art. 14 Abs. 7). Der satzungsmäßige Sitz allein beantwortet die Frage nicht.

Ein Hersteller ohne Hauptniederlassung in der Union wendet auf Grundlage der ihm verfügbaren Informationen folgende Reihenfolge an (Art. 14 Abs. 7):

1. der Mitgliedstaat, in dem der Bevollmächtigte niedergelassen ist, der für die meisten seiner Produkte handelt;
2. der Mitgliedstaat, in dem der Einführer niedergelassen ist, der die meisten seiner Produkte in Verkehr bringt;
3. der Mitgliedstaat, in dem der Händler niedergelassen ist, der die meisten seiner Produkte auf dem Markt bereitstellt;
4. der Mitgliedstaat, in dem sich die meisten Nutzer seiner Produkte befinden.

Wurde Punkt 4 angewandt, darf der Hersteller spätere Meldungen an dasselbe CSIRT richten, dem er zuerst gemeldet hat (Art. 14 Abs. 7). Gehen Sie diese Reihenfolge durch, statt den bequemsten Empfänger zu wählen.

Bereiten Sie vor einem Ereignis eine kurze Notiz zur Wahl des Empfängers vor. Sie muss den rechtlichen Hersteller, die relevante Niederlassung oder den ersatzweise maßgeblichen Wirtschaftsakteur sowie die Tatsachen enthalten, die diese Wahl stützen. Halten Sie die angewandte Bestimmung fest und lassen Sie die Notiz von der zuständigen Leitung für Recht oder Sicherheit prüfen.

Wer darf übermitteln und wer sieht einen Entwurf?

Diese Angaben zum Zugang stammen von ENISA (FAQ 9, 15, 24 und 28, gelesen am 21. Oktober 2026). Sie beschreiben den veröffentlichten Ablauf. Sie beruhen nicht auf einem Test der Plattform.

• Meldungen werden von zugeordneten Vertretern des Herstellers (Assigned Representatives, ARs) übermittelt. Jeder AR benötigt ein persönliches EU Login-Konto mit Mehrfaktor-Authentifizierung.
• Pro Hersteller gibt es einen primären AR (Primary AR) und bis zu 20 sekundäre ARs (Secondary ARs), die der primäre AR einlädt. Das als Koordinator benannte CSIRT bestätigt die Zuordnung des AR zum Hersteller. Während diese Bestätigung aussteht, können bereits Meldungen übermittelt werden, bis zu 20 pro Hersteller.
• Entwürfe werden im Konto des jeweiligen AR gespeichert und sind für andere ARs nicht sichtbar.
• Im ersten Release gibt es keine API. Meldungen werden über die Benutzeroberfläche der Plattform eingegeben. Die Plattform ist nur auf Englisch verfügbar.

Am 20. Oktober 2026 kündigte ENISA die Plattformversion 1.2.1 mit einem geänderten Einladungsverfahren für sekundäre ARs an und erklärte, dass die Dokumentation aktualisiert werde. Prüfen Sie auch das Datum der Hinweise, die Sie verwenden.

Was Sie intern vorbereiten sollten

Beginnen Sie mit einer Ereignisdokumentation. Entdeckung, Kenntnis und Übermittlung brauchen getrennte Felder mit Datum, Uhrzeit und den jeweiligen Nachweisen. Benennen Sie eine verantwortliche Person und eine Vertretung. Halten Sie die Meldeentscheidung und ihre Begründung zusammen mit den technischen Feststellungen fest.

Sammeln Sie die Angaben zur Produktidentifikation und zu betroffenen Komponenten, dann die Nachweise der Ausnutzung und die bekannten Auswirkungen. Trennen Sie bestätigte Tatsachen von vorläufigen Feststellungen und offenen Fragen. Schreiben Sie die sofortigen Eindämmungsmaßnahmen auf. Führen Sie eine eigene Liste der Korrektur- und Risikominderungsmaßnahmen und halten Sie fest, wann jede Maßnahme verfügbar wurde.

Das sind Hinweise zur Vorbereitung. Für die tatsächlichen Felder der Plattform nutzen Sie das SRP Glossary von ENISA. Es beschreibt die Felder für jede Meldeart und Stufe sowie die Pflichtfelder (FAQ 11 und 16). Prüfen Sie es, bevor Sie sich auf einen bestimmten Ablauf verlassen.

Bereiten Sie parallel zur Meldung die Kommunikation mit den Nutzern vor. Die Übermittlung über die Plattform ersetzt nicht die Pflicht des Herstellers, betroffene und gegebenenfalls alle Nutzer über die Schwachstelle oder den Sicherheitsvorfall sowie erforderlichenfalls über Maßnahmen zu informieren, die sie ergreifen können (Art. 14 Abs. 8).

Wo Sie aktuelle ENISA-Anleitungen finden

Beginnen Sie mit der ENISA-Seite zur Single Reporting Platform (öffnet sich in einem neuen Tab). Sie verlinkt das Portal, das Informationsblatt, die Nutzungsbedingungen, das AR-Benutzerhandbuch, die Anleitungsseiten und die Liste der als Koordinatoren benannten CSIRT.

Lesen Sie anschließend die FAQ von ENISA zur Single Reporting Platform (öffnet sich in einem neuen Tab) und das SRP Glossary (öffnet sich in einem neuen Tab).

Ist die Plattform vorübergehend nicht verfügbar, sollen Hersteller laut ENISA warten und die Meldung übermitteln, sobald sie wieder verfügbar ist. Hält ein Hersteller eine sofortige Kommunikation für nötig, kann er sein CSIRT direkt kontaktieren. Die Meldung muss er anschließend trotzdem über die Plattform übermitteln (FAQ 25).

Führen Sie Ihre eigene Zeitleiste. Eine angezeigte Restzeit oder ein gespeicherter Entwurf belegt nicht, dass die Fristen nach Art. 14 eingehalten wurden. Nach Angaben von ENISA zeigt der aktuelle 72-Stunden-Zähler einen Fälligkeitszeitpunkt 48 Stunden nach Übermittlung der Frühwarnung an, nicht 72 Stunden nach Erlangen der Kenntnis. Für den Abschlussbericht zur Schwachstelle gibt es keinen Zähler (FAQ 26). Die Zähler ersetzen nicht die Fristen nach Art. 14.

Quellen

• Verordnung (EU) 2024/2847 (öffnet sich in einem neuen Tab), Text des Amtsblatts (Amt für Veröffentlichungen): Art. 3 Nr. 42 und 51; Art. 14 Abs. 1 bis 8; Art. 15 Abs. 1 und 2; Art. 16 Abs. 1 und 2; Art. 24 Abs. 3; Art. 71 Abs. 2.
• Berichtigung ABl. L 2025/90555 (öffnet sich in einem neuen Tab) vom 2. Juli 2025: In der deutschen Fassung berichtigt sie Art. 13 Abs. 8 und Art. 64 Abs. 10. Art. 3, 14, 15 und 16 bleiben unverändert, auch durch die übrigen Berichtigungen der deutschen Fassung (ABl. L 2025/90828; ABl. L 2026/90667).
• Delegierte Verordnung (EU) 2026/881 der Kommission (öffnet sich in einem neuen Tab) zur Verzögerung der Weiterleitung von Meldungen (erlassen auf Grundlage von Art. 14 Abs. 9).
• Europäische Kommission: Cyberresilienz-Verordnung, Meldepflichten (öffnet sich in einem neuen Tab) (gelesen am 21. Oktober 2026).
• ENISA: Single Reporting Platform (öffnet sich in einem neuen Tab) (gelesen am 21. Oktober 2026).
• ENISA: FAQ zur Single Reporting Platform (öffnet sich in einem neuen Tab), „Aktualisiert: 15. Oktober 2026“: FAQ 4, 9, 11, 15, 16, 18, 24 bis 28, 30.

Als separate Hilfe für die Fristen nutzen Sie den crAcken-Meldefristenrechner.