Eine ausgenutzte Schwachstelle innerhalb von 24 Stunden melden
Aktualisiert am 27. Oktober 2026
Seit dem 11. September 2026 muss ein Hersteller, der erfährt, dass eine Schwachstelle seines Produkts aktiv ausgenutzt wird, dies innerhalb von 24 Stunden melden. Hier der Ablauf, der Inhalt jeder Meldung und Vorlagen zum Ausfüllen.
Wann muss gemeldet werden?
Artikel 14 des CRA betrifft zwei Fälle:
- Eine aktiv ausgenutzte Schwachstelle: Es gibt verlässliche Belege, dass ein Angreifer die Lücke auf einem System ohne Zustimmung des Eigentümers ausgenutzt hat. Eine nur entdeckte oder vor jeder Ausnutzung behobene Lücke wird nicht auf dieser Grundlage gemeldet.
- Ein schwerwiegender Vorfall mit Auswirkung auf die Sicherheit des Produkts: Er beeinträchtigt oder kann die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit der Daten oder Funktionen des Produkts beeinträchtigen oder ermöglicht das Einschleusen von Schadcode.
Die Frist beginnt, sobald der Hersteller Kenntnis von der Ausnutzung oder dem Vorfall erlangt. Eine Warnung vom Freitagabend muss also am Samstag gemeldet werden können.
Die drei Schritte
| Schritt | Frist | Erwarteter Inhalt |
|---|---|---|
| Frühwarnung | 24 Stunden | Die ausgenutzte Schwachstelle (oder der Vorfall, mit Angabe, ob er auf eine böswillige Handlung zurückgeht) und, soweit bekannt, die Mitgliedstaaten, in denen das Produkt bereitgestellt wird. |
| Meldung | 72 Stunden | Allgemeine Angaben zum Produkt, Art der Ausnutzung und der Schwachstelle, ergriffene Korrekturmaßnahmen und Maßnahmen für Nutzer, Vertraulichkeitsgrad der Angaben. |
| Abschlussbericht | 14 Tage nach Verfügbarkeit einer Korrektur (Schwachstelle) · 1 Monat nach der Meldung (Vorfall) | Beschreibung der Schwachstelle, Schweregrad und Auswirkungen, Angaben zum Angreifer, soweit bekannt, Einzelheiten der Korrektur. Bei einem Vorfall: Ursache, Art der Bedrohung, ergriffene und laufende Maßnahmen. |
Der Ablauf, Schritt für Schritt
- 1. Bewerten. Die Ausnutzung bestätigen (KEV, CERT, Kunde, Protokolle) und die betroffenen Produkte und Versionen anhand des SBOM bestimmen.
- 2. Die Frühwarnung senden über die zentrale Meldeplattform der ENISA. Eine Meldung genügt: Sie erreicht gleichzeitig das koordinierende CSIRT Ihres Landes (in Deutschland das BSI, in Frankreich das CERT-FR der ANSSI) und die ENISA.
- 3. Innerhalb von 72 Stunden ergänzen mit der Meldung: Produkt, Versionen, Art der Lücke, Umgehungsmaßnahmen.
- 4. Betroffene Nutzer informieren, unverzüglich, über die Schwachstelle oder den Vorfall und die zu ergreifenden Maßnahmen, bei Bedarf in einem strukturierten, maschinenlesbaren Format.
- 5. Beheben, das Sicherheitsupdate veröffentlichen und dann innerhalb von 14 Tagen den Abschlussbericht senden.
Das CSIRT kann einen Zwischenbericht anfordern. Dokumentieren Sie jeden Schritt mit Datum: Genau das verlangt die Behörde bei einer Prüfung.
Vorlagen zum Herunterladen
Drei Vorlagen im Textformat zum Ausfüllen und anschließenden Übertragen in das Formular der Meldeplattform. Sie folgen den in Artikel 14 verlangten Angaben, für eine ausgenutzte Schwachstelle und für einen schwerwiegenden Vorfall.
- Frühwarnung (24 h) Herunterladen · .txt
- Meldung (72 h) Herunterladen · .txt
- Abschlussbericht Herunterladen · .txt
Mit CheckOps
Betrifft eine Schwachstelle aus dem KEV-Katalog oder eine in der EUVD als ausgenutzt markierte eine Version Ihrer Produkte, eröffnet CheckOps eine CRA-Meldung mit ihren drei Fristen, füllt die Felder vor (Produkt, Versionen, Komponente, CVE, verfügbare Korrektur) und erinnert Sie vor jeder Frist. Die Texte lassen sich für die Plattform der ENISA exportieren, die Historie bleibt in der technischen Akte.
Häufige Fragen
Kann ein kleines Unternehmen bei Überschreitung der 24 Stunden sanktioniert werden?
Nicht allein wegen der Frühwarnung: Der CRA schließt Sanktionen gegen Kleinst- und Kleinunternehmen für diese Frist aus. Die Fristen für die 72-Stunden-Meldung und den Abschlussbericht sowie die Meldepflicht gelten für sie.
Muss eine intern entdeckte, nie ausgenutzte Lücke gemeldet werden?
Nicht nach Artikel 14. Sie wird im Rahmen der Schwachstellenbehandlung behoben; eine freiwillige Meldung an das CSIRT ist möglich.
Quelle: Verordnung (EU) 2024/2847, Amtsblatt der Europäischen Union vom 20. November 2024. Dieser Leitfaden fasst den Text zusammen und ist keine Rechtsberatung. Verordnung auf EUR-Lex lesen