F\u00fcr Hersteller von Produkten mit digitalen Elementen gelten seit dem 11. September 2026 zentrale Meldepflichten des Cyber Resilience Act (CRA). Sie m\u00fcssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorf\u00e4lle melden, die sich auf die Sicherheit ihrer Produkte auswirken. Die Meldungen erfolgen EU-weit \u00fcber die von der Europ\u00e4ischen Agentur f\u00fcr Cybersicherheit (ENISA) bereitgestellte Single Reporting Platform (CRA-SRP). In Deutschland \u00fcbernimmt das CERT-Bund beim Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) die Funktion des koordinierenden Computer Security Incident Response Teams (CSIRT). Das BSI stellt f\u00fcr Hersteller Schritt-f\u00fcr-Schritt-Anleitungen zur Nutzung der Meldeplattform bereit.<\/p>\n\n\n\n
\u00dcber die CRA-SRP k\u00f6nnen Hersteller eine Meldung zentral an das jeweils zust\u00e4ndige koordinierende CSIRT und an ENISA \u00fcbermitteln. Das koordinierende CSIRT leitet die Informationen zugleich an die CSIRTs der EU-Mitgliedstaaten weiter, in denen das betroffene Produkt mit digitalen Elementen auf dem Markt bereitgestellt wird.<\/p>\n\n\n\n
Eine vorherige Registrierung auf der Plattform ist laut BSI nicht erforderlich. Registrierung und Meldung k\u00f6nnen bei Bedarf innerhalb weniger Minuten durchgef\u00fchrt werden. Die Plattform wird auf einer europ\u00e4ischen IT-Infrastruktur betrieben und soll einen vertraulichen Meldeweg bereitstellen.<\/p>\n\n\n\n
Bei Herstellern mit Hauptniederlassung in der EU richtet sich die Zust\u00e4ndigkeit grunds\u00e4tzlich danach, in welchem Mitgliedstaat die wesentlichen Entscheidungen zur Cybersicherheit der Produkte getroffen werden. Informationen \u00fcber aktiv ausgenutzte Schwachstellen k\u00f6nnen Hersteller beispielsweise von IT-Sicherheitsdienstleistern oder Kunden erhalten. Hinweise auf schwerwiegende Sicherheitsvorf\u00e4lle k\u00f6nnen auch von externen Stellen stammen oder aus der internen Auswertung von Logdaten hervorgehen.<\/p>\n\n\n\n
F\u00fcr Hersteller ohne Hauptniederlassung in der EU gelten die Kriterien aus Artikel 14 Absatz 7 des CRA. Dabei k\u00f6nnen unter anderem der Sitz eines Bevollm\u00e4chtigten, Importeurs oder H\u00e4ndlers sowie die Verf\u00fcgbarkeit des Produkts in den jeweiligen EU-Mitgliedstaaten eine Rolle spielen.<\/p>\n\n\n\n
Mit dem Beginn der Meldepflichten entsteht f\u00fcr Hersteller eine zus\u00e4tzliche organisatorische Anforderung an das Schwachstellen- und Incident-Management. Unternehmen m\u00fcssen unter anderem sicherstellen, dass Informationen \u00fcber aktiv ausgenutzte Schwachstellen und relevante Sicherheitsvorf\u00e4lle erkannt, bewertet und innerhalb der vorgesehenen Fristen \u00fcber den vorgeschriebenen Meldeweg weitergegeben werden k\u00f6nnen.<\/p>\n\n\n\n
Damit gewinnt auch die interne Dokumentation von Sicherheitsereignissen an Bedeutung. Hersteller sollten nachvollziehen k\u00f6nnen, wann sie von einer Schwachstelle oder einem Vorfall Kenntnis erlangt haben, welche Produkte betroffen sind und welche Ma\u00dfnahmen eingeleitet wurden.<\/p>\n\n\n\n