Die Meldepflicht nach Artikel 14 verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen zu melden. Sie gilt seit 11. September 2026. Die Übermittlung erfolgt über die Single Reporting Platform von ENISA unter Einbeziehung des zuständigen koordinierenden CSIRT. Für die ersten beiden Stufen zählt die Kenntnis des Herstellers, nicht der Termin einer internen Besprechung.
Zwei Ereignisse, zwei Abschlussfristen
| Stufe | Aktiv ausgenutzte Schwachstelle | Schwerwiegender Sicherheitsvorfall |
|---|---|---|
| Frühwarnung | Unverzüglich, spätestens 24 Stunden ab Kenntnis | Unverzüglich, spätestens 24 Stunden ab Kenntnis |
| Weitere Meldung | Schwachstellenmeldung unverzüglich, spätestens 72 Stunden ab Kenntnis | Vorfallsmeldung unverzüglich, spätestens 72 Stunden ab Kenntnis |
| Abschlussbericht | Spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme | Innerhalb eines Monats nach der Meldung |
Ein CVE-Treffer ist nicht automatisch ein meldepflichtiges Ereignis. Die aktive Ausnutzung beziehungsweise die Schwere des Sicherheitsvorfalls muss anhand der Tatsachen bewertet werden. Umgekehrt darf eine noch nicht abgeschlossene Ursachenanalyse die Eskalation eines möglicherweise meldepflichtigen Ereignisses nicht blockieren. Halten Sie fest, welche Informationen wann vorlagen und warum der gewählte Meldeweg angemessen erscheint. Artikel 14 und die ENISA-FAQ beschreiben die maßgeblichen Auslöser und Fristen.
Kenntnis nachvollziehbar dokumentieren
Der Vorfallsverantwortliche erfasst den frühesten relevanten Kenntniszeitpunkt, die Informationsquelle, das betroffene Produkt und die bekannten Versionen. Bewahren Sie die ursprüngliche Meldung oder Warnung mit beschränktem Zugriff auf. Eine gemeinsame Zeitleiste in UTC erleichtert die Übergabe zwischen Teams. Zusätzlich können die Fristen in der jeweiligen lokalen Zeitzone angezeigt werden. Ein Schichtwechsel ändert den Ausgangspunkt nicht.
Stimmen Sie vorab ab, wer einen Eingang bewertet, wer die Herstellerfreigabe erteilt und wer tatsächlich einreicht. Benennen Sie eine Vertretung für jede entscheidende Rolle. Ein Meldeprozess, der nur funktioniert, wenn eine bestimmte Person an ihrem Schreibtisch sitzt, ist im Ereignisfall schwer belastbar. Prüfen Sie auch, ob externe Hinweise außerhalb üblicher Geschäftszeiten die zuständigen Personen erreichen.
Frühwarnung mit den verfügbaren Fakten vorbereiten
Die Frühwarnung ist eine erste Mitteilung und kein abgeschlossener forensischer Bericht. Erfassen Sie die erforderlichen Informationen zum Produkt und zum bekannten Ereignis. Kennzeichnen Sie Schätzungen und wesentliche Unsicherheiten. Aktualisieren Sie die Bewertung für die Meldung innerhalb von 72 Stunden entsprechend den Anforderungen der Verordnung und des Plattformablaufs. Der Umfang hängt vom Ereignistyp ab.
Bewahren Sie die freigegebene Fassung, den tatsächlichen Übermittlungszeitpunkt und die Eingangsbestätigung zusammen auf. Eine interne Freigabe oder ein gespeicherter Entwurf belegt keine Einreichung. Benennen Sie, wer neue Erkenntnisse prüft und notwendige Ergänzungen veranlasst. Vertrauliche technische Einzelheiten gehören nur in die erforderlichen, kontrollierten Arbeitskanäle. Breite Verteiler erschweren später die Übersicht darüber, welche Fassung tatsächlich übermittelt wurde.
Die Single Reporting Platform vorbereiten
ENISA beschreibt die SRP als gemeinsamen elektronischen Meldeweg. Hersteller wählen das zuständige koordinierende CSIRT anhand der einschlägigen Zuständigkeitsregeln. Die Informationen werden über die Plattform auch ENISA zugänglich. Hersteller außerhalb der EU sollten die Zuordnung vor einem Ereignis klären. In den ersten 24 Stunden bleibt wenig Zeit, einen unbekannten Zugang oder eine offene Zuständigkeitsfrage zu lösen.
Prüfen Sie die aktuelle ENISA-Anleitung für Registrierung und Einreichung. Testen Sie intern die Rollen und die Verfügbarkeit der erforderlichen Informationen. Roja bereitet kopierfertige Meldetexte vor und unterstützt bei der Fristenverfolgung. Sie prüfen die Inhalte und reichen sie ein. Diese Grenze gehört in den Vertrag, das Ablaufhandbuch und die Meldeübung. Die Beauftragung eines Dienstleisters überträgt nicht die Herstellerverantwortung.
Den Abschlussbericht richtig verankern
Bei einer aktiv ausgenutzten Schwachstelle beginnt die Frist für den Abschlussbericht mit der Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme. Dokumentieren Sie dieses Ereignis gesondert. Es ist weder zwingend der Tag der ersten Kenntnis noch der Tag einer internen Ankündigung. Bei einem schwerwiegenden Sicherheitsvorfall ist dagegen die Meldung der Bezugspunkt für den Kalendermonat. Ein Monat darf nicht pauschal durch 30 Tage ersetzt werden.
Verknüpfen Sie den Vorfallsdatensatz mit der Software-Stückliste der betroffenen Versionen und den technischen Entscheidungen zur Abhilfe. Die Information betroffener Nutzer und die sichere Verteilung von Sicherheitsupdates sind zusätzlich zu betrachten. Die Behördenmeldung ist ein Teil der Reaktion. Eine koordinierte Veröffentlichung setzt anwendbare Pflichten und Fristen nicht aus.
Eine Übung macht Lücken sichtbar
Nutzen Sie ein ausdrücklich fiktives Szenario mit einer aktiv ausgenutzten Schwachstelle. Prüfen Sie Eingang, Eskalation, Vertretung, Zugriff und Freigabe. Messen Sie, welche Schritte Zeit verbrauchen. Eine erfolgreiche Übung muss nicht reibungslos aussehen; sie muss offene Zuständigkeiten und fehlende Informationen rechtzeitig sichtbar machen. Halten Sie die daraus folgenden Verbesserungen mit Verantwortlichen und Prüfterminen fest.
Die CRA-Fristen ordnen den Ablauf in den Gesamtzeitplan ein. Die SBOM-Anforderungen erklären die Verbindung zu betroffenen Komponenten und Releases. Kehren Sie bei unklarer Produktgrenze zum CRA-Leitfaden zurück. Eine gepflegte technische Grundlage erleichtert die Reaktion, ersetzt aber nicht die Bewertung des konkreten Meldeauslösers.
Häufige Fragen
Wann beginnen die 24 und 72 Stunden?
Mit der Kenntnis des Herstellers von der relevanten aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Sicherheitsvorfall. Beide Stufen verlangen unverzügliches Handeln innerhalb der jeweiligen Höchstfrist.
Reicht Roja die Meldung ein?
Roja bereitet Entwürfe vor und verfolgt die Fristen. Der Kunde prüft und reicht die Meldung selbst ein.
Quellen
- Verordnung (EU) 2024/2847 – deutsche Fassung auf EUR-Lex
- ENISA: Fragen zur Single Reporting Platform
Allgemeine technische Informationen, geprüft am oben genannten Datum. Produktbezogene Auslegung, aktuelle Normen und das anwendbare Verfahren sind vor einer Konformitätsentscheidung gesondert zu prüfen.