Provetry
ENFRFrühen Zugang anfragen
Kostenloser Check
Frühen Zugang anfragen

Provetry startet im November 2026. Der kostenlose CRA-Check, die Werkzeuge und die Leitfäden sind schon jetzt verfügbar.

CRA-Meldepflicht: 24 Stunden, 72 Stunden, 14 Tage erklärt

9 Min. Lesezeit

Auf dieser Seite
  1. Was die Uhr startet
  2. Die drei Meldungen
  3. Wer belangt werden kann, und die Ausnahme für kleine Unternehmen
  4. Wie Sie vorher bereit sind
  5. Was Provetry tut, und was nicht
  6. Quellen

Seit dem 11. September 2026 muss jeder Hersteller eines vom Cyber Resilience Act erfassten Produkts den Behörden zwei Arten von Ereignissen melden: aktiv ausgenutzte Schwachstellen in seinen Produkten und schwerwiegende Sicherheitsvorfälle, die deren Sicherheit beeinträchtigen. Die Pflicht gilt für jedes erfasste Produkt, das bereits auf dem EU-Markt ist, nicht nur für neue. Die Meldungen laufen über die einheitliche Meldeplattform der ENISA, die sie mit einer einzigen Übermittlung an das als Koordinator benannte CSIRT und an die ENISA weiterleitet.

Was die Uhr startet

Eine aktiv ausgenutzte Schwachstelle

Eine Schwachstelle ist aktiv ausgenutzt, wenn zuverlässige Belege dafür vorliegen, dass ein böswilliger Akteur sie ohne Erlaubnis des Eigentümers in einem System ausgenutzt hat. Eine Schwachstelle, die nur schwerwiegend ist oder die eine Forscherin vorgeführt hat, genügt nicht. Übliche Signale sind ein Eintrag im Katalog Known Exploited Vulnerabilities der CISA oder in der Europäischen Schwachstellendatenbank, ein Herstellerhinweis, dass sie in freier Wildbahn ausgenutzt wird, oder Belege aus Ihren eigenen Sicherheitsvorfällen.

Die Uhr startet, wenn Sie Kenntnis davon erlangen, auch wenn eine Komponente in Ihrem Produkt ausgenutzt wird, etwa eine Open-Source-Bibliothek.

Ein schwerwiegender Sicherheitsvorfall

Ein Sicherheitsvorfall ist schwerwiegend, wenn er die Fähigkeit Ihres Produkts beeinträchtigt oder beeinträchtigen kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder wenn er dazu geführt hat oder führen kann, dass bösartiger Code in Ihr Produkt oder in die Netze Ihrer Nutzer eingeschleust oder dort ausgeführt wird. Ein kompromittierter Update-Server ist das Lehrbuchbeispiel.

Die drei Meldungen

Schritt Aktiv ausgenutzte Schwachstelle Schwerwiegender Sicherheitsvorfall
Frühwarnung Innerhalb von 24 Stunden nach Kenntnisnahme, mit Angabe, wo in der EU das Produkt bereitgestellt wird Innerhalb von 24 Stunden, zusätzlich mit der Angabe, ob ein rechtswidriges oder böswilliges Handeln vermutet wird
Meldung Innerhalb von 72 Stunden: das Produkt, die Art der Ausnutzung und der Schwachstelle, ergriffene Korrektur- oder Abhilfemaßnahmen, Maßnahmen, die Nutzer ergreifen können, wie sensibel die Informationen sind Innerhalb von 72 Stunden: die Art des Vorfalls, eine erste Bewertung, ergriffene Maßnahmen und Maßnahmen, die Nutzer ergreifen können, wie sensibel die Informationen sind
Abschlussbericht Spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist: Beschreibung, Schwere und Auswirkung, was über den böswilligen Akteur bekannt ist, Einzelheiten zum Sicherheitsupdate Innerhalb eines Monats nach der Meldung: eine ausführliche Beschreibung, die wahrscheinliche Art der Bedrohung oder die Grundursache, die angewandten und laufenden Abhilfemaßnahmen

Das CSIRT kann dazwischen einen Zwischenbericht anfordern. Sie müssen außerdem die betroffenen Nutzer rechtzeitig informieren, samt der Maßnahmen, die sie ergreifen können; tun Sie es nicht, kann das CSIRT es übernehmen.

Wer belangt werden kann, und die Ausnahme für kleine Unternehmen

Verstöße gegen diese Pflichten können mit bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Gegen Kleinst- und kleine Unternehmen kann wegen einer versäumten 24-Stunden-Frühwarnung keine Geldbuße verhängt werden, aber die Pflicht selbst sowie die 72-Stunden-Meldung und der Abschlussbericht gelten weiterhin. Verwalter quelloffener Software melden ebenfalls, soweit sie beteiligt sind, und können nicht mit Geldbußen belegt werden.

Wie Sie vorher bereit sind

Die 24 Stunden sind kurz, weil die ersten Stunden eines Vorfalls damit vergehen, herauszufinden, was betroffen ist. Der größte Teil dieser Arbeit lässt sich vorab erledigen.

  1. Wissen, was in jedem Produkt steckt. Eine aktuelle Software-Stückliste, Version für Version, beantwortet „Sind wir betroffen?“ in Minuten statt Tagen. Siehe unseren SBOM-Leitfaden.
  2. Auf Ausnutzung achten, nicht nur auf Schwachstellen. Gleichen Sie Ihre Komponenten täglich mit den Katalogen ausgenutzter Schwachstellen ab, damit Sie von einer Ausnutzung durch Ihre eigenen Werkzeuge erfahren und nicht durch einen Kunden.
  3. Registrieren Sie sich auf der einheitlichen Meldeplattform der ENISA, bevor Sie sie brauchen, und legen Sie fest, wer in Ihrem Unternehmen übermitteln darf.
  4. Bereiten Sie die Meldungen vor. Halten Sie Vorlagen für die drei Schritte bereit, in denen Ihre Produktdaten schon eingetragen sind: Name, Versionen, Mitgliedstaaten, in denen es verkauft wird, Kontaktstellen.
  5. Schreiben Sie die Information der Nutzer im Voraus. Ein kurzer Text mit Platzhaltern, der Nutzern sagt, was betroffen ist und was zu tun ist.
  6. Üben Sie einmal. Nehmen Sie eine echte ausgenutzte Schwachstelle aus dem letzten Jahr und messen Sie, wie lange Ihr Team braucht, um die Frühwarnung auszufüllen.

Was Provetry tut, und was nicht

In den kostenpflichtigen Tarifen gleicht Provetry jede Komponente Ihrer Produkte mit CISA KEV und der Europäischen Schwachstellendatenbank ab, benachrichtigt Sie, wenn eine davon als ausgenutzt gemeldet wird, zählt die Fristen ab dem Moment herunter, in dem Sie Ihre Kenntnisnahme festhalten, und entwirft die drei Meldungen mit Ihren Produktdaten. Mit der Option „Geprüfte Meldungen“ liest eine zertifizierte Sicherheitsfachperson jeden Entwurf, bevor Sie ihn senden. Benachrichtigungen warten nie auf diese Prüfung.

Provetry übermittelt nichts in Ihrem Namen an die ENISA und entscheidet nicht für Sie, dass eine Schwachstelle aktiv ausgenutzt wird: Das Gesetz überlässt beides dem Hersteller.

Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung.

Quellen