Am 11. September 2026 startet die CRA Single Reporting Platform (SRP) — betrieben und wartungsverantwortet von ENISA. Gleichzeitig beginnen die Meldepflichten nach Art. 14 des EU Cyber Resilience Act. Aktive Schwachstellen und schwere Sicherheitsvorfälle bei Produkten mit digitalen Elementen sind ab diesem Tag über einen einzigen elektronischen Eingang zu melden. Wer bis dahin keinen EU-Login-fähigen Assigned Representative (AR), keinen benannten CSIRT-Koordinator (CDaC) und keine funktionierende 24-h-Meldelinie hat, verletzt die Verordnung — messbar und sanktionsbewehrt.
Was genau die SRP ist — und was nicht
Die SRP ist ein zentrales elektronisches System, das die Meldepflichten der Hersteller vereinfacht. Statt an mehrere nationale Behörden getrennt zu berichten, erfolgt die Meldung einmal. Die Plattform routet automatisch an den CDaC (basierend auf der Hauptniederlassung, Art. 14(7) CRA) und an ENISA. Der CDaC verteilt anschließend an weitere relevante CSIRTs und — falls erforderlich — an Marktüberwachungsbehörden. Rechtsgrundlage ist Art. 16(1) CRA; die Verzögerungsmöglichkeit (Particularly Exceptional Circumstances, PEC) wurde durch delegierten Rechtsakt C(2025)8407 vom 11. Dezember 2025 präzisiert.
Was die SRP nicht ist: keine Konformitätsplattform, kein SBOM-Repository, kein Ersatz für nationale Meldekanäle in anderen Regelwerken (NIS2, DORA). Sie ist der spezifische Kanal für CRA Art. 14 / 15 Meldungen.
Die vier harten Fristen
- Frühwarnung (Early Warning) — unverzüglich, spätestens 24 Stunden nach Kenntnis.
- 72-Stunden-Meldung — Beschreibung der Schwachstelle / des Vorfalls, erste Bewertung, ergriffene und Nutzer-Gegenmaßnahmen.
- Abschlussbericht für Schwachstellen — spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme.
- Abschlussbericht für schwere Vorfälle — innerhalb 1 Monat nach Erstmeldung.
Die Awareness-Zeit — der Moment, in dem der Hersteller Kenntnis erlangt — startet die Uhr. Dieses Datum muss dokumentiert werden. Ohne verlässliche Aufzeichnung ist die 24-h-Frist praktisch nicht nachweisbar einzuhalten.
Registrierung: EU-Login und CSIRT-Bestimmung
Meldungen werden von einem Assigned Representative (AR) im Auftrag des Herstellers eingereicht. Voraussetzung: ein EU-Login-Konto (ecas.ec.europa.eu/cas/login). Empfohlen wird ein Primary AR und mindestens ein Backup AR, jeweils mit Erreichbarkeit im 24/7-Fenster oder klarer Rufbereitschaft.
Der zuständige CDaC ergibt sich aus der Hauptniederlassung des Herstellers (Art. 14(7) CRA). Für Nicht-EU-Hersteller zählt der Sitz des benannten Bevollmächtigten. ENISA veröffentlicht die Liste der nationalen CSIRT-Koordinatoren in Kürze. Die Validierung der Bevollmächtigung des AR läuft nach dem ersten Zugriff parallel zum Meldeprozess — sie blockiert Einreichungen nicht.
Die Datenfelder-Matrix (Q16 ENISA SRP FAQ)
ENISA hat in Q16 der SRP FAQ (Stand 03.08.2026) transparent gemacht, welche Felder auf welcher Meldestufe verpflichtend sind. In der 24-h-Frühwarnung sind unter anderem Meldungsart, Meldelevel, Herstellername, Produkt und Titel verpflichtend; General information und ergriffene Maßnahmen werden erst in der 72-h-Meldung obligatorisch. Der Abschlussbericht ergänzt die vollständige Beschreibung, Schwere und Impact.
Praktische Konsequenz: bereits die 24-h-Meldung erfordert stabile Stammdaten — Produktname, Version, Herstellername, Titel des Vorfalls. Wer diese Daten nicht in einem strukturierten Register führt, verliert unter Druck Zeit auf Grundlagen.
PEC — verzögerte Weitergabe unter Ausnahmebedingungen
In eng definierten Ausnahmefällen kann der empfangende CSIRT die Weitergabe an andere Mitgliedstaaten verzögern oder zurückhalten, wenn die sofortige Verbreitung selbst ein Sicherheitsrisiko darstellen würde (z. B. weil eine Schwachstelle offengelegt würde, bevor ein Patch verfügbar ist). Markiert der Hersteller in der 72-h-Meldung aktiv eine der Bedingungen aus Art. 16(2) lit. (a)–(c), erhält ENISA zunächst nur Teilinformationen — bis der CSIRT die vollständige Meldung freigibt. Die Bedingungen sind im delegierten Rechtsakt C(2025)8407 präzisiert.
Was jetzt konkret zu tun ist
- EU-Login-Konten für Primary AR und Backup AR anlegen und den Zugriff auf die SRP testen.
- CDaC anhand der Hauptniederlassung bestimmen und dokumentieren.
- Zentrales Case-Register aufsetzen — inklusive automatischer Erfassung der Awareness-Zeit.
- Meldevorlagen für Frühwarnung, 72-h und Abschlussbericht vorbereiten, mit stabilen Stammdaten (Produkte, Versionen, Mitgliedstaaten).
- Nutzerkommunikationsvorlagen rechts- und PR-seitig vorabgenehmigen.
- Tabletop-Übung mit Technik, Recht, Compliance und Support durchführen — ENISA hat ein SRP-Webinar ~2 Wochen vor Go-Live angekündigt.
NexTech.Law stellt zwei kostenfreie Werkzeuge bereit, die den Prozess strukturieren: das interaktive CRA Vulnerability Reporting Readiness Assessment (22 Kontrollen) und den ENISA-basierten CRA Reporting Playbook mit vollständiger Datenfelder-Matrix. Beides ist unter dem Menüpunkt Toolkit ohne Registrierung erreichbar.