Schwachstelle im Produkt: die CRA-Meldepflicht in 24 Stunden

Die Fristenkette im Detail: 24 Stunden, 72 Stunden, 14 Tage oder ein Monat

Artikel 14 der Verordnung (EU) 2024/2847 kennt zwei Anlässe mit je drei Stufen. Für eine aktiv ausgenutzte Schwachstelle beginnt die Kette mit der Frühwarnung innerhalb von 24 Stunden nach Kenntnis. Sie enthält die Information, dass eine aktiv ausgenutzte Schwachstelle vorliegt, und gegebenenfalls die Mitgliedstaaten, in denen das Produkt bereitgestellt wurde. Es folgt die Schwachstellenmeldung innerhalb von 72 Stunden mit allgemeinen Angaben zum Produkt, der Art der Ausnutzung und der Schwachstelle sowie den getroffenen Korrektur- oder Risikominderungsmaßnahmen und denen, die Nutzer ergreifen können.

Die dritte Stufe ist der Abschlussbericht, fällig spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist, mit einer Beschreibung der Schwachstelle einschließlich Schweregrad und Auswirkungen, Informationen über den Akteur, der sie ausgenutzt hat, soweit verfügbar, und Angaben zum Sicherheitsupdate. Die Frist hängt also an der Verfügbarkeit der Lösung, nicht an der Meldung. Ein Hersteller, der sechs Wochen an einem Patch arbeitet, schreibt den Abschlussbericht sechs Wochen plus 14 Tage nach der Meldung.

Für schwerwiegende Vorfälle gelten dieselben 24 und 72 Stunden. Die Frühwarnung gibt zusätzlich an, ob der Verdacht auf böswillige Handlungen besteht, die Meldung liefert eine erste Bewertung. Der Abschlussbericht ist hier innerhalb eines Monats nach der Meldung fällig und beschreibt Schweregrad, Auswirkungen, Art der Bedrohung oder Ursache und die Maßnahmen.

Die Plattform, das zuständige CSIRT und der Weg der Meldung

Die Meldung erfolgt einmal, über die Single Reporting Platform, die ENISA betreibt und die seit dem 11. September 2026 in Betrieb ist. Von dort geht die Meldung an ENISA und an das CSIRT, das im Mitgliedstaat der Hauptniederlassung des Herstellers als Koordinator benannt ist. Dieses CSIRT teilt die Meldung ohne Verzögerung mit den anderen betroffenen CSIRTs. In Deutschland nimmt das CERT-Bund im BSI diese Rolle wahr. Das BSI stellt Schritt-für-Schritt-Anleitungen zur Plattform bereit, ENISA ein Benutzerhandbuch, ein Tutorial, Fragen und Antworten sowie ein Glossar, das die Datenfelder der Meldung mit Ausfüllhinweisen, Beispielen und Formaten erklärt. Dieses Glossar ist die Grundlage für eure Vorlagen.

In Ausnahmefällen kann das koordinierende CSIRT die Weitergabe einer Meldung an die anderen CSIRTs aus berechtigten Gründen der Cybersicherheit verzögern, etwa wenn die Verbreitung selbst das Risiko erhöhen würde. Hersteller können eine solche Verzögerung in der Plattform beantragen, entscheiden darüber aber nicht selbst. Daneben sieht Artikel 15 die freiwillige Meldung anderer Schwachstellen und Vorfälle vor. Sie erzeugt keine Fristen, kann aber sinnvoll sein, wenn ihr früh Unterstützung des CSIRT wollt.

Kunden informieren, ohne Angreifern eine Anleitung zu liefern

Die Pflicht zur Kundeninformation aus Artikel 14 Absatz 8 steht neben der Meldung an das CSIRT und ersetzt sie nicht. Sie greift ab Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls, richtet sich an die betroffenen und gegebenenfalls an alle Nutzer und verlangt, wo nötig, Hinweise zu Risikominderung und Korrekturmaßnahmen. Bleibt der Hersteller untätig, darf das CSIRT die Nutzer selbst informieren, wenn es das zur Begrenzung der Auswirkungen für notwendig hält. Diese Möglichkeit ist der Grund, warum eine abgestimmte Kundeninformation immer besser ist als eine, die jemand anderes für euch schreibt.

Der Konflikt mit der Geheimhaltung technischer Details ist real und lösbar. Die erste Information an Nutzer nennt Produkt und betroffene Versionen, den Umstand der aktiven Ausnutzung und Maßnahmen, die sofort wirken, ohne die Schwachstelle zu beschreiben: eine Funktion abschalten, einen Port am Perimeter sperren, eine Standardkonfiguration ändern. Technische Details folgen mit dem Update. Organisatorisch braucht das einen Verteiler je Produkt, der betroffene Kunden erreicht und nicht nur Vertriebskontakte, und eine Advisory-Seite mit maschinenlesbarer Ausgabe. Wer das einmal gebaut hat, nutzt es auch für Schwachstellen, die nicht meldepflichtig sind.

Was bis zum 11. Dezember 2027 noch zu bauen ist

Die Meldepflicht ist die erste Pflicht des Cyber Resilience Act, die greift, aber nicht die letzte. Seit dem 11. Juni 2026 gelten die Regeln für die Benennung von Konformitätsbewertungsstellen, und die Mitgliedstaaten sollen bis zum 11. Dezember 2026 für eine ausreichende Zahl notifizierter Stellen sorgen. Ab dem 11. Dezember 2027 gelten alle Anforderungen: die grundlegenden Cybersicherheitsanforderungen aus Anhang I vor dem Inverkehrbringen, die Behandlung von Schwachstellen über den gesamten Unterstützungszeitraum. Dazu kommen die Transparenz gegenüber Nutzern einschließlich eines klar angegebenen Support-Endes und die CE-Kennzeichnung auf Basis einer Konformitätsbewertung.

Für die Produktentwicklung heißt das: eine Richtlinie zur koordinierten Offenlegung, eine zentrale Kontaktstelle, eine Software-Stückliste in einem gängigen maschinenlesbaren Format mindestens für die obersten Abhängigkeiten, Sicherheitsupdates getrennt von Funktionsupdates und ein definierter Unterstützungszeitraum. Das BSI hat dafür die Technische Richtlinie TR-03183 in drei Teilen veröffentlicht, zu allgemeinen Anforderungen, zu Software-Stücklisten und zu Schwachstellenberichten. Sie ist keine Pflicht im Sinne der Verordnung, aber der konkreteste deutschsprachige Maßstab.

Bei den Bußgeldern unterscheidet Artikel 64: bis zu 15 Millionen Euro oder 2,5 Prozent des Umsatzes für Verstöße gegen Anhang I und die Artikel 13 und 14, bis zu 10 Millionen oder 2 Prozent für andere Pflichten, bis zu 5 Millionen oder 1 Prozent für falsche Angaben gegenüber Behörden. Kleinst- und Kleinunternehmen werden für das Versäumen der 24-Stunden-Frist für die Frühwarnung nach Artikel 14 Absatz 2 und 4 nicht mit Geldbußen belegt; für die übrigen Fristen und für die Pflicht selbst gilt diese Ausnahme nicht.