CRA-Meldepflicht: Was Hersteller seit dem 11. September tun müssen

Was seit dem 11. September gilt

Hersteller von Produkten mit digitalen Elementen müssen zwei Dinge melden: aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle, die die Sicherheit dieser Produkte beeinträchtigen. Das betrifft Steuerungen, Gateways, Sensoren und Software gleichermaßen.

Wichtig: Die Pflicht greift unabhängig davon, ob ein Produkt schon CRA-konform entwickelt wurde. Sie erfasst auch Geräte, die vor dem Stichtag in Verkehr gebracht wurden.

Die Fristen

• 24 Stunden nach Kenntnis: Frühwarnung
• 72 Stunden nach Kenntnis: Meldung mit ersten Details, Schweregrad und betroffenen Produkten
• Abschlussbericht: bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur verfügbar ist, bei schweren Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung

Wohin wird gemeldet?

Gemeldet wird über die zentrale CRA Single Reporting Platform (CRA-SRP) der ENISA. Die Meldung geht an das koordinierende CSIRT des zuständigen Mitgliedstaats und an die ENISA. In Deutschland ist das CERT-Bund beim BSI. Eine Registrierung vorab ist laut BSI nicht nötig, und das BSI stellt Schritt-für-Schritt-Anleitungen bereit.

Fünf Schritte für die nächsten Wochen

1. Produktliste erstellen: Welche Ihrer Produkte haben digitale Elemente und sind auf dem EU-Markt?
2. SBOM aufbauen: Ohne Stückliste der Softwarekomponenten erkennen Sie nicht, ob eine neue Schwachstelle Sie betrifft.
3. Eingangskanal schaffen: Eine Adresse für Sicherheitsmeldungen (z. B. security.txt) und ein Prozess, der sie täglich prüft.
4. Rollen festlegen: Wer bewertet, wer meldet, wer informiert Kunden?
5. Probelauf: Eine fiktive Schwachstelle einmal komplett durchspielen, mit Stoppuhr.

Wie wir unterstützen

Wir erstellen SBOMs nach CycloneDX direkt aus Ihrer Build-Pipeline, gleichen sie automatisch mit neuen Advisories ab und richten den Meldeprozess so ein, dass er auch nachts funktioniert. Für neue Geräte planen wir Secure Boot und signierte Updates von Anfang an mit ein.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.