Die CRA-Meldepflicht gilt: 24 Stunden, und kaum ein Team hat einen Weg

Der Cyber Resilience Act gilt erst ab dem 11. Dezember 2027 vollständig. Die meisten Teams haben ihn entsprechend abgelegt, irgendwo in der Spalte 2027 einer Roadmap. Diese Ablage ist inzwischen fünfzehn Monate falsch: Artikel 14, die Meldepflicht, gilt seit dem 11. September 2026.

Es ist eine enge Pflicht, und eine schnelle. Wenn Sie ein Produkt mit digitalen Elementen herstellen, das auf dem Unionsmarkt bereitgestellt wird, und Sie Kenntnis davon erlangen, dass eine Schwachstelle darin aktiv ausgenutzt wird, haben Sie 24 Stunden für eine Frühwarnung. Keine Behebung, keine Analyse — eine Meldung, über die zentrale Meldeplattform, an das als Koordinator benannte CSIRT und an die ENISA.

Wen das trifft, auch jene, die sich nicht für Hersteller halten

Das Wort „Hersteller“ klingt nach Hardware, und diese Lesart ist der erste Fehler. Ein Produkt mit digitalen Elementen ist jedes Software- oder Hardwareprodukt samt seiner Datenfernverarbeitungslösungen, das als eigenständiges kommerzielles Angebot auf dem Markt bereitgestellt wird. Eine als Produkt verkaufte SaaS-Plattform, eine mobile App, ein Firmware-Image, eine kommerziell vertriebene Bibliothek, ein eingebetteter Controller: alle im Anwendungsbereich.

Zwei weitere Fälle überraschen Unternehmen regelmäßig.

Sie setzen Ihren Namen darauf. Ein Händler oder Importeur, der ein Produkt unter eigenem Namen oder eigener Marke vermarktet, wird im Sinne der Verordnung zum Hersteller — mitsamt der Meldepflicht.

Sie haben es wesentlich verändert. Nehmen Sie eine Open-Source-Komponente oder ein Fremdprodukt, ändern Sie es so, dass seine Sicherheitseigenschaften berührt werden, und bringen Sie das Ergebnis in Verkehr: Die Pflichten folgen der Änderung.

Open Source, die außerhalb einer Geschäftstätigkeit entwickelt und bereitgestellt wird, bleibt außen vor. Die Grenze ist die Geschäftstätigkeit, nicht die Lizenz, und sie ist dünner als angenommen: Ein Maintainer, der Support oder bevorzugte Fixes verkauft, steht auf der falschen Seite.

Die drei Meldungen und ihre jeweilige Uhr

Die Pflicht ist keine einzelne Einreichung. Sie ist eine Folge, und jeder Schritt hat seine eigene Frist, die mit der Kenntnis beginnt.

Binnen 24 Stunden die Frühwarnung. Um welche Schwachstelle es geht, dass sie ausgenutzt wird, und welche Mitgliedstaaten Sie für betroffen halten, soweit bekannt. Sie ist bewusst dünn. Sie existiert, damit Koordinatoren anfangen können, nicht damit Sie vollständig sind.

Binnen 72 Stunden die Schwachstellenmeldung. Allgemeine Angaben zum Produkt, die Art der Ausnutzung und getroffene oder verfügbare Korrektur- oder Abhilfemaßnahmen.

Binnen 14 Tagen nach Verfügbarkeit einer Korrekturmaßnahme der Abschlussbericht. Beschreibung der Schwachstelle, ihre Schwere und Auswirkung, und die Behebung.

Dieselbe Form gilt für schwerwiegende Vorfälle, die die Sicherheit des Produkts betreffen, mit derselben Frühwarnung nach 24 Stunden und einem Abschlussbericht nach einem Monat.

Zwei praktische Punkte. Die Uhr startet mit der Kenntnis, und Kenntnis ist eine organisatorische Tatsache, keine Entscheidung: Ein Support-Techniker, der am Freitagabend eine Ausnutzung in Kundenprotokollen sieht, hat sie gestartet. Und die 24-Stunden-Meldung hängt nicht davon ab, dass Sie die Schwachstelle verstehen — Sie melden, was Sie wissen, und melden dann erneut.

Was tatsächlich scheitert

Wir haben dieses Szenario dieses Jahr viermal mit Produktteams durchgespielt, als Planübung mit sichtbarer Uhr. Niemand verfehlte die Frist, weil er den Bericht nicht schreiben konnte. Verfehlt oder knapp gerissen wurde sie aus denselben vier Gründen.

Niemandem gehört der Auslöser. Die Ausnutzung bemerkt der Support, ein Kunde, ein Forscher, die Lageaufklärung oder ein Herstelleradvisory — fünf Eingänge, und in jedem Fall wusste die Person, die es sah, nicht, dass gerade eine regulatorische 24-Stunden-Uhr angelaufen war. Das ist der lohnendste Punkt, und es ist ein Nachmittag Arbeit: eine schriftliche Regel, wie „aktiv ausgenutzt“ in Ihrem Haus aussieht, und ein einziger Weg von jedem der fünf Eingänge zu der Person, die melden kann.

Das Produktinventar ist kein regulatorisches Inventar. Unternehmen wissen, was sie verkaufen. Sie haben keine Liste, die beantwortet: Welche davon sind Produkte mit digitalen Elementen, auf welchen Märkten bereitgestellt, unter wessen Namen, mit welchem erklärten Supportzeitraum. Diese Liste sagt Ihnen überhaupt erst, ob eine Ausnutzung meldepflichtig ist, und unter einer 24-Stunden-Frist lässt sie sich nicht erstellen.

Das Plattformkonto existiert nicht. Die Meldung läuft über die zentrale Meldeplattform. Ein Konto, die richtigen Personen darauf und eine Testeinreichung regelt man nicht in der dritten Stunde eines Vorfalls.

Der juristische Reflex ist Warten. Der Instinkt, vor der Meldung zu bestätigen, ist in fast jedem anderen Zusammenhang richtig und hier falsch. Vierundzwanzig Stunden fassen keinen Freigabezyklus. Die Frühwarnung ist zur Überarbeitung gedacht; die Frist nicht.

Wenn Sie noch nicht begonnen haben

Vier Arbeitstage, über zwei Wochen verteilt, schließen die Lücke:

• Eine Abgrenzungsnotiz, die Ihre Produkte mit digitalen Elementen benennt, ihre Märkte und wer jeweils Hersteller ist. Eine Seite je Produkt, kein Projekt.
• Eine schriftliche Auslöserdefinition und ein einziger interner Weg von jedem Eingang zur meldenden Person. Hängen Sie sie dorthin, wo der Support sie sieht, nicht nur ins Wiki des Sicherheitsteams.
• Das Plattformkonto, eingerichtet, mit zwei benannten Personen und einem Trockenlauf.
• Eine Planübung, mit Uhr. Eine Stunde, einmal. Dort wird der fehlende Weg offensichtlich.

Nichts davon ist die Arbeit für Dezember 2027: Konformitätsbewertung, technische Dokumentation, Security-by-Design-Anforderungen, erklärter Supportzeitraum und Schwachstellenbehandlungsprozess. Das ist ein echtes Programm und sollte jetzt geplant werden. Aber es ist nicht, was heute fällig ist. Heute fällig ist ein Anruf, der die richtige Person innerhalb eines Tages erreicht, und ein Formular, in das sich schon einmal jemand eingeloggt hat.

Die Frage, die diese Woche im Team gehört

Nicht „sind wir CRA-konform“ — niemand ist es, und die Frage hat für ein weiteres Jahr keine Antwort. Fragen Sie stattdessen: Wenn heute Abend ein Kunde an unsere Support-Adresse schreibt, er werde über unser Produkt angegriffen — wer reicht die Frühwarnung ein, und bis wann?

Wenn die Antwort mehr als einen Satz braucht, ist das die Lücke, und es ist die billigste der ganzen Verordnung.