Am 11. September 2026 hat die EU-Agentur für Cybersicherheit (ENISA) die Single Reporting Platform (SRP) gestartet, das gemeinsame elektronische Werkzeug, über das Hersteller von Produkten mit digitalen Elementen künftig ihre Meldepflichten nach dem Cyber Resilience Act (CRA) erfüllen. Dasselbe Datum markiert den Zeitpunkt, ab dem die Meldepflichten nach Artikel 14 der CRA für Schwachstellen und Vorfälle Hersteller erfassen, die verbundene Produkte auf dem EU-Markt platzieren.
Der Startschuss beseitigt das letzte verfahrenstechnische Hindernis auf dem Weg zur Compliance. Da die Plattform nun online ist, können Hersteller eine einzige Meldung absetzen und die relevanten Informationen automatisch an jede zuständige nationale CSIRT weiterleiten lassen, statt bilaterale Meldekanäle zu jedem einzelnen Mitgliedstaat aufzubauen. Die wesentlichen Cybersicherheits-Anforderungen der CRA greifen erst am 11. Dezember 2027, sodass die materiellen Security-by-Design-Pflichten noch nicht durchsetzbar sind, doch die Meldeuhr läuft ab sofort.
Wer muss melden, und ab wann?
Ab dem 11. September 2026 muss jeder Hersteller eines Produkts mit digitalen Elementen, das auf dem EU-Markt verfügbar ist, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, die die Sicherheit dieses Produkts beeinträchtigen. Importeure und Händler trifft dieselbe Pflicht innerhalb ihrer Rolle in der Lieferkette. Die Verpflichtung läuft unabhängig von der Dezember-2027-Frist für die Grundanforderungen: Die Meldung beginnt jetzt, obwohl die materiellen Security-by-Design-Pflichten noch nicht durchsetzbar sind.
Verwalter von Open-Source-Software werden später einbezogen. Nach Artikel 24(3) der Regulation (EU) 2024/2847 erstrecken sich die Meldepflichten auf Verwalter, die in die Entwicklung von Produkten mit digitalen Elementen eingebunden sind, doch dieser Artikel greift erst ab dem 11. Dezember 2027, dem Datum, an dem auch die Kern-Cybersicherheits-Anforderungen wirksam werden.
Was muss gemeldet werden, und wie schnell?
Zwei Kategorien lösen eine Meldung aus: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle mit Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen. Hersteller müssen die zuständige Behörde unverzüglich und, sobald machbar, innerhalb von 24 Stunden nach Kenntniserlangung informieren und danach die Aktualisierungen nachreichen, die die Verordnung vorschreibt, sobald sich die Lage entwickelt.
Die SRP ist der dafür vorgesehene Kanal. ENISA betreibt und wartet sie und hat neben einem dedizierten Helpdesk ein FAQ, Benutzerhandbücher, Tutorial-Videos, ein Glossar und ein mehrsprachiges Faktenblatt veröffentlicht. Die CRA-Meldehinweise der Europäischen Kommission liefern in Abschnitt 9.1 ihres Umsetzungsleitfadens und in Abschnitt 5 ihres FAQs weitere Klarstellungen.
Wie leitet die Single Reporting Platform eine Meldung weiter?
Die Plattform folgt dem Modell "einmal melden, vielfach verteilen". Wenn ein Hersteller eine Meldung einreicht, erhält die als Koordinator bestimmte CSIRT sie zuerst und leitet die Informationen an die CSIRTs in jedem Mitgliedstaat weiter, in dem das betroffene Produkt ebenfalls verfügbar ist. ENISA wird gleichzeitig in Kenntnis gesetzt. Dieses koordinierte Routing reduziert Doppelmeldungen und ermöglicht es nationalen Teams, auf derselben Faktenbasis parallel statt sequenziell zu handeln.
Die EU-CSIRTs nutzen auf der Empfangsseite dieselbe Plattform, sodass der Melde-Workflow, der Verteilungs-Workflow und die ENISA-Überwachungssicht auf einem einzigen System liegen. ENISA hat angekündigt, die Funktionalität der Plattform in den kommenden Monaten auf Basis der praktischen Nutzung zu erweitern.
Wo bleibt die CRA-RED-Grenze für Funk- und Telekommunikationsgeräte?
Für diese Branche ist der entscheidende Punkt die Schnittstelle zur Radio Equipment Directive. Funkanlagen, die bereits die RED-Cybersicherheits-Grundanforderungen erfüllen, die durch Commission Delegated Regulation (EU) 2022/30 gemäß Artikel 3(3)(e) und (f) der Directive 2014/53/EU festgelegt und seit dem 1. August 2025 anwendbar sind, sind von den wesentlichen Cybersicherheits-Anforderungen der CRA ausgenommen. Nicht ausgenommen sind sie von der Meldepflicht: Hersteller solcher Geräte müssen ab dem 11. September 2026 weiterhin aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die SRP melden.
Diese Aufteilung macht die CRA-RED-Schnittstelle zum entscheidenden Compliance-Drehpunkt für 2026. Ein verbundenes Funk- oder Telekommunikationsgerät kann in der Substanz seines Cybersicherheits-Designs voll RED-konform sein und dennoch vollständig in das Melde-Regime der CRA fallen, weshalb Compliance-Teams, die die RED-Cybersicherheits-Konformität bisher als Ziellinie betrachtet haben, nun einen parallelen Schwachstellen-Melde-Workflow benötigen. Kontinuierliches, nach Rechtsraum differenziertes Echtzeit-Monitoring macht den Moment sichtbar, in dem eine Meldeplattform online geht und den Tag, an dem eine Pflicht greift, sodass ein Team seinen Workflow aufbauen kann, bevor die Uhr zu laufen beginnt.
| Datum | Was gilt |
|---|---|
| 11. September 2026 | CRA-Meldepflichten nach Artikel 14 gelten für Hersteller und Importeure; ENISA Single Reporting Platform online |
| 11. Dezember 2027 | CRA-Anforderungen an wesentliche Cybersicherheit greifen; Artikel 24(3)-Meldepflicht wird auf Verwalter von Open-Source-Software ausgeweitet |
Kostenlosen Newsletter abonnieren
Die unmittelbare Checkliste ist eng, aber zeitkritisch: prüfen Sie, ob Ihre Produkte in die CRA-Definition von Produkten mit digitalen Elementen fallen oder nur unter die RED-Cybersicherheits-Ausnahme, registrieren Sie sich auf der SRP und testen Sie den Einreichungs-Workflow, legen Sie den 24-Stunden-internen Eskalationspfad vom Security- oder Produktteam zu der Person fest, die die Meldung einreicht, und informieren Sie Engineering und Recht über die Trennung zwischen der September-2026-Meldefrist und der Dezember-2027-Frist für die Grundanforderungen. Obsidian verfolgt beide Meilensteine über den gesamten EU-Cybersicherheits-Stack hinweg.
