„Wenn die Meldeplattform nicht erreichbar ist, können wir nicht melden. Dann kann uns auch keiner einen Vorwurf machen."
Seit heute, dem 11. September 2026, gilt die Meldepflicht aus Artikel 14 des Cyber Resilience Act (EU CRA). Die Single Reporting Platform (SRP) der ENISA, über die alle Meldungen laufen müssen, sollte am selben Tag starten. Zum Zeitpunkt der Veröffentlichung dieses Beitrags war sie noch nicht erreichbar. Die Frage ist damit keine Übung für den Notfallplan, sondern Tagesgeschäft: Was gilt, wenn die Plattform offline ist oder ausfällt? Die Antwort ist unbequemer, als viele Hersteller vermuten.
Was ist die Single Reporting Platform?
Die Single Reporting Platform ist die zentrale Meldeplattform, die die ENISA nach Artikel 16 EU CRA betreibt. Hersteller melden dort aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die Auswirkungen auf die Sicherheit ihres Produkts mit digitalen Elementen haben. Die Meldung geht über den elektronischen Meldeendpunkt des koordinierenden CSIRT im Mitgliedstaat der Hauptniederlassung und ist gleichzeitig für die ENISA zugänglich. Für Hersteller mit Hauptniederlassung in Deutschland ist das koordinierende CSIRT das CERT-Bund im BSI.
Die Fristen kennen Sie vermutlich aus meinen früheren Beiträgen zur September-Deadline und zur 24-Stunden-Frühwarnung: 24 Stunden für die Frühwarnung, 72 Stunden für die eigentliche Meldung, 14 Tage beziehungsweise ein Monat für den Abschlussbericht.
Warum stoppt der Plattformausfall die Fristen nicht?
Artikel 14 knüpft die Meldepflicht an einen einzigen Auslöser: Ihre Kenntnis von der aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Vorfall. Ab diesem Moment läuft die Uhr. Die Verfügbarkeit der Plattform kommt im Tatbestand schlicht nicht vor. Es gibt keine Regelung zur Fristhemmung, keine Ausnahme für technische Störungen, keinen Vorbehalt höherer Gewalt.
Die ENISA bestätigt diese Lesart in ihren FAQ zur Single Reporting Platform. Bei einem vorübergehenden Ausfall sollen Hersteller warten und die Meldung nachholen, sobald die Plattform wieder erreichbar ist. Hält der Hersteller eine sofortige Kommunikation für erforderlich, kann er sich direkt an sein zuständiges CSIRT wenden. Entscheidend ist der Nachsatz: Auch wer das CSIRT direkt kontaktiert hat, muss die Meldung über die SRP nachreichen, sobald diese wieder verfügbar ist.
Für Deutschland geht das BSI noch einen Schritt weiter und erklärt ausdrücklich, dass Pflichtmeldungen bei vorübergehender Nichterreichbarkeit der Plattform ausnahmsweise per E-Mail an das CERT-Bund übermittelt werden können. Das ist eine pragmatische und aus meiner Sicht richtige Position. Sie ändert aber nichts am Grundsatz: Der Ausfall verschiebt den Meldeweg, nicht die Pflicht.
Für Hersteller heißt das konkret:
- Die 24-Stunden-Frist für die Frühwarnung läuft ab Kenntnis weiter, auch wenn die SRP nicht antwortet.
- Wer den Ausfall abwartet, ohne zu dokumentieren und ohne den Ersatzweg zu nutzen, trägt das volle Risiko einer Fristverletzung.
- Wer den Fehlversuch dokumentiert und parallel per E-Mail meldet, kann später belegen, dass er alles getan hat, was möglich war.
Mythos vs. Fakt
Mythos: Ist die Single Reporting Platform nicht erreichbar, entfällt die Meldepflicht, und die Fristen pausieren, bis die Plattform wieder läuft.
Fakt: Die Fristen aus Artikel 14 laufen unabhängig von der Verfügbarkeit der Plattform. Bei einem Ausfall melden Hersteller ersatzweise direkt an ihr koordinierendes CSIRT, in Deutschland per E-Mail an das CERT-Bund im BSI, und reichen die Meldung über die SRP nach, sobald diese wieder erreichbar ist.
Konkrete Konsequenzen für Ihren Meldeprozess
1. Verankern Sie den Fallback jetzt schriftlich in Ihrem Meldeprozess. Für Hersteller mit Hauptniederlassung in Deutschland empfehle ich, bei einem SRP-Ausfall zeitgleich zwei E-Mails zu versenden: an das CERT-Bund im BSI (certbund@bsi.bund.de) und an den SRP-Helpdesk der ENISA (cra-srp-helpdesk@enisa.europa.eu). Inhaltlich orientieren Sie sich an den Pflichtangaben der Frühwarnung, damit die spätere SRP-Meldung deckungsgleich ist. Ein Prozess, der erst im Ernstfall improvisiert wird, kostet Stunden, die Sie nicht haben.
2. Dokumentieren Sie jeden Fehlversuch beweisfest. Zeitstempel, Screenshot der Fehlermeldung, Absendezeitpunkt der Ersatz-E-Mails. Diese Dokumentation ist Ihr Nachweis gegenüber der Marktüberwachung, dass die Verspätung der Plattform zuzurechnen ist und nicht Ihnen. Ohne sie steht im Zweifel Ihre Aussage gegen einen Serverlog.
3. Reichen Sie die Meldung über die SRP nach, sobald sie wieder erreichbar ist. Das ist der Punkt, der in der Praxis am häufigsten untergehen wird: Die E-Mail an CERT-Bund und ENISA ersetzt die Meldung über die Plattform nicht. Erst die nachgereichte SRP-Meldung erfüllt die Pflicht aus Artikel 14 Absatz 7. Legen Sie im Prozess fest, wer die Erreichbarkeit prüft und wer das Nachreichen verantwortet.
Was bedeutet das für Ihre EU-CRA-Roadmap?
Der heutige Tag markiert die erste der beiden Schlüsselfristen: Seit dem 11. September 2026 gelten die Meldepflichten, am 11. Dezember 2027 folgt die volle Anwendbarkeit des EU CRA. Der Umgang mit einem Plattformausfall ist ein gutes Beispiel dafür, dass Compliance mit dem Cyber Resilience Act kein Dokumentationsprojekt ist, sondern ein Prozessthema: Wer melden muss, braucht nicht nur Fristenwissen, sondern eingeübte Abläufe inklusive der Ausnahmefälle. Wie die Fristen zusammenspielen, habe ich in der CRA-Roadmap 2026/2027 aufbereitet. Was bei Verstößen droht, lesen Sie im Beitrag zu Bußgeldern und Sanktionen.
Häufig gestellte Fragen
Pausiert die 24-Stunden-Frist, wenn die SRP ausfällt? Nein. Die Frist läuft ab Ihrer Kenntnis der aktiv ausgenutzten Schwachstelle oder des schwerwiegenden Vorfalls. Der Cyber Resilience Act enthält keine Regelung, die die Frist bei einem Plattformausfall hemmt.
An wen melde ich in Deutschland, wenn die Plattform nicht erreichbar ist? Das BSI lässt die Meldung per E-Mail an das CERT-Bund ausnahmsweise zu. Ich empfehle, zeitgleich das CERT-Bund (certbund@bsi.bund.de) und den SRP-Helpdesk der ENISA (cra-srp-helpdesk@enisa.europa.eu) anzuschreiben und beides zu dokumentieren.
Ersetzt die E-Mail die Meldung über die SRP? Nein. Die ENISA stellt klar, dass die Meldung über die Plattform nachgeholt werden muss, sobald diese wieder erreichbar ist. Die E-Mail wahrt die Frist im Ausnahmefall, erfüllt aber nicht die Formvorgabe aus Artikel 14 Absatz 7.
Gilt das auch für Hersteller ohne Hauptniederlassung in Deutschland? Das Prinzip ja, der Adressat nicht. Maßgeblich ist das koordinierende CSIRT des Mitgliedstaats Ihrer Hauptniederlassung, bei Herstellern ohne Niederlassung in der EU greift die Kaskade aus Artikel 14 Absatz 9 über Bevollmächtigten, Einführer, Händler oder Nutzerschwerpunkt. Klären Sie Ihren Ersatz-Meldeweg mit dem dort zuständigen CSIRT, bevor Sie ihn brauchen.
Was gilt, wenn die Plattform gar nicht startet oder über Tage offline bleibt? Rechtlich dasselbe: Artikel 14 macht die Pflicht nicht von der Verfügbarkeit der Plattform abhängig, also bleibt der Ersatzweg über das koordinierende CSIRT der maßgebliche Kanal, solange die SRP nicht erreichbar ist. Ob eine Behörde eine Fristverletzung sanktionieren könnte, wenn der gesetzlich vorgesehene Meldeweg selbst nie verfügbar war, ist ein offener Graubereich. Verlassen Sie sich nicht darauf: Wer über den Ersatzweg gemeldet und alles dokumentiert hat, braucht diese Diskussion gar nicht erst zu führen.
Fazit
Der Ausfall der Single Reporting Platform ist kein Freibrief, sondern ein Ausnahmeszenario mit klarem Drehbuch: Fehlversuch dokumentieren, ersatzweise per E-Mail an CERT-Bund und ENISA melden, über die Plattform nachreichen. Wer dieses Drehbuch erst schreibt, wenn die Fehlermeldung auf dem Bildschirm steht, verliert die entscheidenden Stunden. Wo Sie stehen, zeigt Ihnen unser kostenloses CRA-Assessment.
Jeden Freitag räume ich hier mit einem CRA-Mythos auf.