„Die 24-Stunden-Frist läuft doch erst, wenn wir wissen, was genau passiert ist." Dieser Satz klingt nach gesundem Ingenieursverstand: erst verstehen, dann melden. Unter dem Cyber Resilience Act ist er trotzdem falsch, und er führt in der Praxis zuverlässig zu Fristverletzungen, die sich leicht vermeiden ließen.
Was bedeutet das Stufenmodell in Artikel 14?
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Artikel 14 des CRA verlangt dabei keine einzelne, vollständige Meldung, sondern drei Stufen:
- Frühwarnung innerhalb von 24 Stunden nach Kenntnis. Sie ist bewusst knapp gehalten: das betroffene Produkt, die Tatsache der aktiven Ausnutzung beziehungsweise des Vorfalls, gegebenenfalls betroffene Mitgliedstaaten.
- Meldung innerhalb von 72 Stunden mit allgemeinen Angaben zur Schwachstelle oder zum Vorfall, einer ersten Einschätzung und bereits getroffenen oder geplanten Abhilfemaßnahmen.
- Abschlussbericht, bei Schwachstellen spätestens 14 Tage nachdem eine Korrekturmaßnahme verfügbar ist, bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.
Gemeldet wird einmal, über die Single Reporting Platform der ENISA (EU-Agentur für Cybersicherheit). Die Meldung geht an das als Koordinator benannte CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat, und grundsätzlich zeitgleich an die ENISA. Die Plattform befindet sich derzeit im Aufbau und soll zum Stichtag einsatzbereit sein. Welche Fälle überhaupt meldepflichtig sind, habe ich im Praxisleitfaden zur EU-CRA-Meldepflicht aufgeschlüsselt.
Der entscheidende Punkt: Die Uhr startet mit der Kenntnis. Kenntnis meint dabei nicht den Eingang eines Hinweises im Postfach, sondern den Moment, in dem Ihre Erstprüfung mit hinreichender Sicherheit ergibt, dass eine aktive Ausnutzung vorliegt. Diese Erstprüfung dürfen Sie allerdings nicht aufschieben: Sie muss unverzüglich erfolgen und lückenlos dokumentiert sein, sonst gilt im Zweifel ein früherer Zeitpunkt. Was die Uhr dagegen nicht startet: der Abschluss der Root-Cause-Analyse, die Freigabe durch die Rechtsabteilung, der fertige Patch.
Warum das Warten auf die vollständige Analyse gefährlich ist
Der Reflex „erst verstehen, dann melden" stammt aus einer Welt, in der Meldungen vollständig sein mussten. Der CRA dreht diese Logik um: Die Frühwarnung darf unvollständig sein, genau dafür wurde sie geschaffen. Der Gesetzgeber will nach 24 Stunden kein forensisches Gutachten, sondern ein Signal, damit CSIRTs und ENISA Angriffswellen früh erkennen können.
Wer trotzdem auf vollständige Klarheit wartet, riskiert zwei Dinge:
- Eine vermeidbare Fristverletzung. Die Analyse einer aktiv ausgenutzten Schwachstelle dauert praktisch immer länger als 24 Stunden. Wer sie zur Voraussetzung der Meldung macht, verletzt die Frist strukturell, bei jedem einzelnen Fall.
- Ein Dokumentationsproblem. Der Zeitpunkt der Kenntnis lässt sich später rekonstruieren, etwa über Monitoring-Alerts, Ticketsysteme oder E-Mails. Liegt zwischen Kenntnis und Meldung ein Wochenende Analysearbeit, steht das schwarz auf weiß in Ihren eigenen Systemen.
Das typische Szenario: Freitag, 16:30 Uhr, das Monitoring meldet, dass eine Firmware-Komponente im Known-Exploited-Vulnerabilities-Katalog der CISA aufgetaucht ist. Das Security-Team plant die saubere Analyse übers Wochenende, die Meldung für Montag. Am Montag ist die 24-Stunden-Frist seit zwei Tagen abgelaufen, und die 72-Stunden-Frist gleich mit.
Mythos vs. Fakt
Mythos: Die 24-Stunden-Frist beginnt erst, wenn die Schwachstelle vollständig analysiert und verstanden ist.
Fakt: Die Frist läuft ab Kenntnis der aktiven Ausnutzung. Innerhalb von 24 Stunden ist nur eine bewusst unvollständige Frühwarnung fällig. Die inhaltliche Tiefe folgt gestuft: Meldung nach 72 Stunden, Abschlussbericht nach 14 Tagen beziehungsweise einem Monat.
Konkrete Konsequenzen für Ihren Meldeprozess
1. Definieren Sie den Verifizierungsschritt schriftlich. Legen Sie fest, wie aus einem Hinweis eine festgestellte Kenntnis wird: Welche Eingänge werden geprüft (Monitoring-Treffer, CERT-Warnungen, Kunden- und Forschermeldungen), wer prüft unverzüglich, wer stellt das Ergebnis fest, und wie werden Eingang, Prüfbeginn und Verifizierung mit Zeitstempeln dokumentiert. Genau diese Dokumentation belegt später, dass Ihre Frist erst mit der Verifizierung begann und die Prüfung trotzdem prompt lief.
2. Bereiten Sie eine Frühwarnungs-Vorlage vor. Die Frühwarnung braucht wenige Angaben: Produkt, Art des Ereignisses, Kontaktdaten. Eine vorbereitete Vorlage, die im Ernstfall in 30 Minuten befüllt ist, nimmt der Frist ihren Schrecken. Klären Sie vorab die Zugänge zur Single Reporting Platform und hinterlegen Sie Vertretungsregelungen, damit der Prozess nicht an einer Urlaubsabwesenheit scheitert.
3. Proben Sie den Ablauf unter realistischen Bedingungen. Simulieren Sie einen Fund am Freitagnachmittag: Wie lange dauert es von der Monitoring-Meldung bis zur abgesetzten Frühwarnung? Wer entscheidet, wenn die Geschäftsführung nicht erreichbar ist? Ein einziger Probelauf deckt mehr Lücken auf als zehn Prozessdokumente. Die Grundlagen dafür, überhaupt zu wissen, welche Komponenten in welchen Produkten stecken, liefert Ihr Schwachstellenmanagement auf Basis einer vollständigen SBOM. Einen Einstieg bieten der Leitfaden zum Schwachstellenmanagement und der SBOM-Guide.
Was bedeutet das für Ihre CRA-Roadmap?
Am 11. September 2026 wird das Stufenmodell scharf. Der Meldeprozess inklusive Auslöserdefinition, Vorlagen und Plattformzugang muss vorher stehen und mindestens einmal geprobt sein.
Am 11. Dezember 2027 folgt die volle CRA-Anwendbarkeit mit Konformitätsbewertung und CE-Kennzeichnung für neu in Verkehr gebrachte Produkte.
Die Meldefähigkeit in 24 Stunden ist dabei kein isoliertes Compliance-Thema, sondern der härteste Praxistest Ihres gesamten Schwachstellenmanagements. Wie sich beide Stichtage in eine Planung übersetzen, zeigt die CRA Compliance-Roadmap 2026/2027. Die Konsequenzen von Fristverletzungen behandelt der Artikel zu CRA-Bußgeldern und Sanktionen.
Häufig gestellte Fragen
Was, wenn sich die Frühwarnung später als Fehlalarm herausstellt? Dann korrigieren Sie das in der 72-Stunden-Meldung oder im Abschlussbericht. Eine Frühwarnung, die sich als unbegründet erweist, ist kein Verstoß. Eine unterlassene Meldung, die sich als begründet erweist, schon.
Beginnt die Frist auch am Wochenende oder an Feiertagen? Ja. Die 24 Stunden kennen keine Geschäftszeiten. Genau deshalb braucht der Prozess Vertretungsregeln und darf nicht an einer einzelnen Person hängen.
Wessen Kenntnis zählt, die des Praktikanten oder die der Geschäftsführung? Der CRA stellt auf die Kenntnis des Herstellers ab, nicht auf eine Hierarchieebene. Maßgeblich ist der Abschluss der Erstprüfung mit hinreichender Sicherheit, nicht der Eingang des Hinweises. Aber: Interne Weiterleitungswege und eine verschleppte Prüfung verschieben die Frist nicht, sie erzeugen nur den Vorwurf, zu spät Kenntnis genommen zu haben.
Müssen wir parallel an mehrere Behörden melden? Grundsätzlich nein. Die Meldung läuft über die Single Reporting Platform an das für Ihren Mitgliedstaat benannte CSIRT und wird der ENISA grundsätzlich zeitgleich verfügbar gemacht. Beachten Sie aber, dass andere Regelwerke, etwa NIS-2 für Ihre eigene Unternehmens-IT, eigene Meldewege haben können.
Was gehört in die 72-Stunden-Meldung, was noch nicht? Allgemeine Angaben zur Schwachstelle oder zum Vorfall, Schweregrad und Auswirkungen soweit bekannt, getroffene und geplante Maßnahmen. Vollständige Forensik gehört in den Abschlussbericht, nicht in die 72-Stunden-Stufe.
Fazit
Das Stufenmodell des CRA ist keine Schikane, sondern ein Entgegenkommen: Niemand verlangt vollständige Analysen in 24 Stunden, sondern nur ein schnelles, knappes Signal. Gefährlich wird die Frist erst für Unternehmen, die sie wie eine klassische Vollmeldung behandeln oder den Prozess erst im Ernstfall improvisieren.
Eine automatisierte Compliance-Plattform wie Kunnus hilft dabei, Ausnutzungssignale, SBOM-Abgleich und Meldevorlagen so zu verzahnen, dass die 24 Stunden reichen, bevor der Stichtag aus der Theorie in die Praxis kippt. Den Einstieg bietet unser kostenloser CRA-Compliance-Check.
Jeden Freitag räume ich hier mit einem CRA-Mythos auf.