Das Wichtigste in Kürze
- Die Single Reporting Platform der ENISA ist seit dem 11.09.2026 in Betrieb und Anfang November 2026 verfügbar.
- Zugang über portal.cra-srp.enisa.europa.eu mit persönlichem EU Login und Zwei-Faktor-Anmeldung.
- Je Hersteller ein Primary Assigned Representative und bis zu 20 weitere Vertreter. Das zuständige CSIRT prüft die Zuordnung.
- Die Plattform ist nur auf Englisch und hat keine Schnittstelle; gemeldet wird in der Weboberfläche.
- Deutsche Hersteller wählen das BSI (CERT-Bund) als zuständiges CSIRT. Eine falsche Wahl kann die Meldung ungültig machen.
Was die Single Reporting Platform ist
Art. 16 CRA verpflichtet die ENISA, eine einheitliche Meldeplattform einzurichten und zu betreiben. Über sie gehen alle Meldungen nach Art. 14 an das zuständige CSIRT und gleichzeitig an die ENISA. Das empfangende CSIRT leitet die Meldung an die CSIRTs der Staaten weiter, in denen das Produkt bereitgestellt wurde. In besonders außergewöhnlichen Fällen kann die Weiterleitung aus Sicherheitsgründen aufgeschoben werden; die Bedingungen regelt die Delegierte Verordnung (EU) 2026/881.
Die ENISA hat die Plattform am 11. September 2026 mit einer ersten Ausbaustufe gestartet. Ihre Statusseite meldete Anfang November 2026 den Betrieb als verfügbar. Ist die Plattform ausgefallen, empfiehlt die ENISA, bei Dringlichkeit das CSIRT direkt zu kontaktieren und die Meldung auf der Plattform nachzuholen.
Zugang und Rollen
Der Zugang läuft über portal.cra-srp.enisa.europa.eu. Dort wählt man die Rolle des Assigned Representative (AR) und meldet sich mit EU Login und Zwei-Faktor-Anmeldung an. EU-Login-Konten sind personengebunden; eine eigene Anmeldung für Unternehmen gibt es derzeit nicht.
| Rolle | Aufgabe |
|---|---|
| Primary AR | Registriert sich direkt, wählt das zuständige CSIRT und legt die Angaben zum Hersteller an. Genau eine Person je Hersteller. |
| Secondary AR | Wird vom Primary AR eingeladen. Bis zu 20 je Hersteller, etwa als Vertretung im Urlaub oder in der Nacht. |
| CSIRT | Prüft die Zuordnung von Vertreter und Hersteller und bearbeitet die Meldungen. Bis zur Prüfung sind bis zu 20 Meldungen möglich. |
Die ENISA empfiehlt, sich erst zu registrieren, wenn eine Meldung ansteht, um die CSIRTs zu entlasten. Mit bestehendem EU Login dauert die Registrierung wenige Minuten. In der Praxis lohnt es sich trotzdem, die EU-Login-Konten der Vertreter vorher anzulegen und die Zwei-Faktor-Anmeldung einzurichten, damit in der 24-Stunden-Frist nichts an der Anmeldung hängt.
Das richtige CSIRT wählen
Zuständig ist das als Koordinator benannte CSIRT im Mitgliedstaat der Hauptniederlassung: dort, wo die Entscheidungen zur Cybersicherheit der Produkte überwiegend fallen, hilfsweise dort, wo die meisten Beschäftigten arbeiten (Art. 14 Abs. 7). Für Deutschland führt die ENISA das BSI mit CERT-Bund.
Hersteller ohne Niederlassung in der EU folgen einer festen Reihenfolge über Bevollmächtigten, Einführer und Händler. Ein Hersteller mit mehreren Niederlassungen in der EU gibt je Ereignis nur eine Meldung ab. Wählt er das falsche CSIRT, kann die Meldung ungültig werden und muss neu eingereicht werden.
Ablauf einer Meldung
- Fall anlegen: Nach der Anmeldung legt der Vertreter eine Meldung zu einer aktiv ausgenutzten Schwachstelle oder zu einem schweren Vorfall an und wählt das betroffene Produkt.
- Frühwarnung absenden innerhalb von 24 Stunden ab Kenntnis, mit den Mitgliedstaaten der Bereitstellung, beim Vorfall mit der Einschätzung, ob eine böswillige Handlung vermutet wird.
- Meldung ergänzen innerhalb von 72 Stunden ab Kenntnis: Produkt, Art der Ausnutzung, Schwachstelle mit CVE- oder EUVD-Kennung, Schweregrad, Maßnahmen und Hinweise für Nutzer. Die Plattform zeigt die Fälligkeit derzeit 48 Stunden nach der Frühwarnung an; maßgeblich ist die gesetzliche Frist.
- Zwischenbericht liefern, wenn das CSIRT ihn anfordert.
- Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur verfügbar ist (Schwachstelle), oder einen Monat nach der Meldung (Vorfall). Für diesen Bericht zeigt die Plattform keinen Zähler an; die Frist muss der Hersteller selbst überwachen.
Die Plattform hat zum Start keine Programmierschnittstelle. Jede Angabe wird in der Weboberfläche eingetragen, auf Englisch. Die ENISA hält eine Schnittstelle für eine spätere Ausbaustufe für möglich.
Fristen nicht von Hand zählen
Fixradar gleicht Ihre Stücklisten täglich ab, erkennt aktiv ausgenutzte Lücken und bereitet Frühwarnung, Meldung und Abschlussbericht für die ENISA-Plattform vor.
Welche Angaben abgefragt werden
Einen Durchführungsrechtsakt zum Meldeformat nach Art. 14 Abs. 10 gibt es bisher nicht. Die Felder ergeben sich aus dem Glossar und dem Benutzerhandbuch für Vertreter, die die ENISA veröffentlicht hat. Für Schwachstellen nennt die ENISA unter anderem die CVE- und die EUVD-Kennung, den Schweregrad, Angaben zum Angreifer und die Art des Exploits.
Ist eine gemeldete Schwachstelle öffentlich bekannt, kann die ENISA sie im Einvernehmen mit dem Hersteller in die Europäische Schwachstellendatenbank (EUVD) aufnehmen und als CVE-Vergabestelle eine CVE-Kennung vergeben (Art. 17 Abs. 5).
Typische Stolpersteine
- Niemand ist registriert, wenn es ernst wird. Der Primary AR sitzt im Urlaub, Vertretungen sind nicht eingeladen, EU-Login-Konten fehlen.
- Die Texte fehlen auf Englisch. Produktbeschreibung, Art der Ausnutzung und Maßnahmen müssen in Stunden präzise und konsistent vorliegen.
- Die Länderliste ist unklar. Für die Frühwarnung braucht es die Mitgliedstaaten, in denen das Produkt bereitgestellt wurde.
- Die Frist für den Abschlussbericht wird vergessen, weil sie erst mit der Korrektur zu laufen beginnt und die Plattform keinen Zähler zeigt.
- Die Nutzerinformation nach Art. 14 Abs. 8 läuft nicht über die Plattform und wird deshalb leicht übersehen.
Häufige Fragen
Seit wann ist die ENISA-Meldeplattform in Betrieb?
Seit dem 11. September 2026, dem Tag, ab dem die Meldepflicht nach Art. 14 CRA gilt.
Brauche ich ein Unternehmenskonto bei der ENISA?
Nein. Die Anmeldung läuft über persönliche EU-Login-Konten mit Zwei-Faktor-Anmeldung. Ein Primary Assigned Representative registriert den Hersteller und lädt bis zu 20 weitere Vertreter ein.
Gibt es eine Schnittstelle für automatische Meldungen?
Zum Start nicht. Gemeldet wird in der Weboberfläche. Die ENISA hält eine Schnittstelle für eine spätere Ausbaustufe für möglich.
In welcher Sprache wird gemeldet?
Die Plattform ist auf Englisch. Meldetexte sollten deshalb von Anfang an auf Englisch vorbereitet werden.
Welches CSIRT wählen Hersteller aus Deutschland?
Das BSI mit CERT-Bund, sofern die Hauptniederlassung in Deutschland liegt.
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex
- ENISA: The CRA Single Reporting Platform is launched (11.09.2026)
- ENISA: CRA Single Reporting Platform, Frequently Asked Questions (15.10.2026)
- ENISA: CRA SRP, AR User Manual (September 2026)
- ENISA: List of CSIRTs designated as coordinators
- Delegierte Verordnung (EU) 2026/881 zum Aufschub der Weiterleitung von Meldungen
- BSI: CRA-Durchführungsgesetz verabschiedet (16.10.2026)
Stand: November 2026. Die Angaben geben die allgemeine Rechtslage wieder und ersetzen keine Rechtsberatung im Einzelfall.