Eine Meldung kommt rein — Sie wissen, was passiert
Ob eine Meldung vom Kunden kommt, aus dem Einkauf oder aus der Forschung: In Kunnus hat sie von der ersten Minute an einen Weg — Eingang, Triage, Frühwarnung, Advisory. Und wer gemeldet hat, bleibt informiert.
Die Meldepflicht des EU Cyber Resilience Act gilt seit dem 11. September 2026 — auch für Maschinen, Geräte und Software, die zu diesem Zeitpunkt längst beim Kunden stehen. Fristen im Überblick
Frühwarnung 24 Stunden und Meldung 72 Stunden nach Kenntnis. Der Abschlussbericht ist bei einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage nach Bereitstehen einer Abhilfemaßnahme fällig, bei einem schwerwiegenden Vorfall spätestens einen Monat nach der Meldung (Art. 14 EU CRA).
Der Weg einer Meldung durch Kunnus
Kunnus bringt den gesamten Meldeprozess mit und unterstützt Sie an jeder der vier Stationen, vom Eingang bis zum Nachweis.
Eingang
Die Meldung kommt über Ihr öffentliches Formular, aus dem Schwachstellen-Workflow oder von Hand an. Kunnus quittiert den Eingang; die Tracking-ID geht an den Melder, die Benachrichtigung an Ihr Team.
Zum AbschnittTriage
Zwei Fristen laufen sichtbar am Fall. Sie wählen die betroffenen Produkte aus dem Inventar und halten die Zuständigkeit fest — bewertet wird von Ihnen.
Zum AbschnittMeldung
Kunnus rechnet die Frist aus dem Zeitpunkt der Kenntnis, fragt die Angaben der Single Reporting Platform ab und erzeugt daraus den strukturierten Export.
Zum AbschnittKommunikation & Nachweis
Kunnus erstellt das Advisory im CSAF-Format, hält den Melder automatisch auf dem Stand und legt jede Änderung als Nachweis ab.
Zum Abschnitt14:11 · Die Meldung trifft ein
Eine Meldung kommt an, Ihr Team erfährt es sofort
Der Weg beginnt außerhalb Ihres Hauses: Ein Kunde, ein Forscher oder ein Betreiber füllt Ihr öffentliches Meldeformular aus. Ab da arbeitet Kunnus. Die Meldung wird quittiert, bekommt eine Tracking-ID und landet in der Warteschlange Ihres Teams. Auch nachts, auch im Betriebsurlaub.
- Öffentliches Formular unter einer teilbaren URL, ohne Account für den Melder
- Eingangsbestätigung und Tracking-ID gehen von selbst raus. Der Melder sieht den Stand jederzeit selbst nach
- Kunnus benachrichtigt Ihr Team proaktiv; niemand muss ein Postfach überwachen
Alle Meldungen laufen in einer Warteschlange zusammen, mit Schweregrad, Status und den Fristen, die daran hängen.
Noch 13 Stunden bis zur Eingangsbestätigung
Fünf Stufen, zwei Uhren
Eine Meldung läuft in Kunnus von „eingegangen“ bis „offengelegt“ durch fünf Stufen. Zwei davon haben eine Frist gegenüber dem Melder: die Eingangsbestätigung und die Triage. Beide zeigen, wie viel Zeit bleibt — und Kunnus meldet sich, bevor eine Frist reißt.
- Der Fortschritt ist ablesbar, ohne dass jemand eine Statusrunde dreht
- Offene Fristen stehen in Stunden am Fall; vor dem Ablauf warnt Kunnus
- Die betroffenen Produkte wählen Sie aus dem Inventar — Baureihen und Stände liegen dort schon bereit
Kunnus führt die Vorgaben des EU Cyber Resilience Act am Fall mit und speichert jeden Schritt mit Zeitstempel. So können Sie später nachweisen, dass Sie sich daran gehalten haben.
Im Gesetzestext nachlesen — Art. 14Noch 20 Stunden bis zur Frühwarnung
Der Prozess kommt mit — oder fügt sich in Ihren ein
Sie müssen keinen Meldeprozess erfinden und keinen bestehenden ersetzen: Kunnus bringt den Ablauf mit. Am Ende steht ein strukturierter Export, der sich eins zu eins in die Plattform übernehmen lässt.
Geführt, nicht leeres Formular
Der Fall fragt der Reihe nach ab, was die Meldung trägt. Was in Kunnus schon hinterlegt ist, ist vorbelegt — abgefragt wird nur, was zusätzlich gebraucht wird.
Der Zeitpunkt der Kenntnis wird automatisch erfasst
Sie bestätigen die aktive Ausnutzung oder den schwerwiegenden Vorfall — Kunnus erzeugt den Meldefall, setzt den Zeitstempel und lässt die 24 Stunden ab diesem Moment laufen.
Anschlussfähig an das, was schon läuft
Wer bereits ein PSIRT, ein Ticketsystem oder einen Freigabeweg hat, behält ihn. Kunnus setzt dort an, wo Frist, Feldsatz und Nachweis entstehen.
Der Fall basiert auf den Angaben, die die Single Reporting Platform der ENISA je Stufe verlangt. Die Einordnung eines konkreten Vorfalls bleibt Ihre Entscheidung; Kunnus hält fest, wie sie getroffen wurde.
Im Gesetzestext nachlesen — Art. 14Behandelt — jetzt geht die Nachricht nach draußen
Kommunikation und Nachweis entstehen aus demselben Vorgang
Ist die Schwachstelle behandelt, bleibt die Arbeit, die man von außen sieht: das Security Advisory, die Rückmeldung an den Melder, die Information an Ihre Kunden — und der Nachweis, falls jemand prüft. In Kunnus entsteht all das aus dem Fall selbst, ohne zweites Erfassen.
- Das Security Advisory kann direkt aus dem Fall erstellt werden — im CSAF-Format, maschinenlesbar statt als PDF im Downloadbereich
- Der Melder wird automatisch auf dem Laufenden gehalten; die Tracking-ID zeigt ihm den Stand
- Betroffene Kunden informieren Sie ab der 72-Stunden-Meldung direkt (Art. 14 Abs. 8); die E-Mail-Vorlagen dafür liegen bereit, die Fakten kommen aus dem Fall
- Fragt das CSIRT einen Zwischenbericht an (Art. 14 Abs. 6), ist er ein Export aus dem Verlauf, keine Rekonstruktion
- Jede Feldänderung steht mit Zeitstempel und Urheber im Verlauf und lässt sich als Nachweis exportieren
Wir nutzen Kunnus selbst: Unsere eigene Meldestelle und unser CSAF-Feed laufen über die Plattform. Unsere Meldestelle ansehen
Drei Blicke auf denselben Fall
Eine Meldung beschäftigt mehr als eine Person. Kunnus zeigt jedem im Haus den Ausschnitt, mit dem er arbeitet — ohne dass jemand Berichte zusammenkopiert.
Product Compliance & PSIRT
Arbeitet den Fall: Triage, Felder, Advisory. Die Pflichtangaben fragt Kunnus der Reihe nach ab.
Head of Product Security / CISO
Sieht Fristen und Stand über alle offenen Fälle, ohne eine Statusrunde zu drehen.
Geschäftsführung & Audit
Bekommt den Nachweis: wer wann was entschieden hat, exportierbar aus dem Fall.
Der Ablauf steht, bevor die erste Meldung kommt
Nichts davon müssen Sie beim ersten Ernstfall erst aufbauen. Der EU Cyber Resilience Act verlangt drei Dinge — in Kunnus stehen sie vom ersten Tag an:
- Ihre öffentliche Meldestelle: das Formular unter einer teilbaren URL — bereit für security.txt, Website und Verträge
- Eine Richtlinie zur koordinierten Offenlegung als Vorlage aus der Policy-Bibliothek
- Ihre SLAs für Eingangsbestätigung und Triage, hinterlegt mit Fristen, die von selbst laufen und rechtzeitig warnen
Branchen
Gebaut für alle, die etwas ausliefern
Der Auslöser ist in jeder Branche derselbe: Jemand außerhalb Ihres Hauses findet etwas. Den Weg, die Fristen und den Nachweis, die es dann braucht, bringt Kunnus mit.
Industriemaschinen
Eine Komponente, eine ganze Baureihe betroffen.
IoT & Konsumgüter
Viele SKUs, viele Meldungen. Triage mit Frist.
Energie & Gebäudetechnik
Betreiber fragen im Einkauf nach dem Meldeweg.
Industriekomponenten
Der OEM meldet und braucht Ihre Zuarbeit in Stunden.
Smart Farming
In der Saison kommt die Meldung außerhalb der Bürozeit.
Telekommunikation
Advisories, die Kunden maschinell einlesen.
Software & SaaS
Forschende melden schon. Jetzt mit festem Weg.
Embedded Systems
Von der CVE zum betroffenen Firmware-Stand.
Smart Home & Consumer
Support und Öffentlichkeit an einer Meldestelle.
Häufige Fragen zur Meldepflicht
Gilt das auch für Produkte, die wir längst ausgeliefert haben?
Ja. Die Meldepflichten des EU Cyber Resilience Act gelten ab dem 11. September 2026 und greifen auch für Produkte mit digitalen Elementen, die zu diesem Zeitpunkt bereits auf dem Markt sind. Für Maschinen mit 15 Jahren Nutzungsdauer heißt das: Die installierte Basis zählt mit. In Kunnus liegt sie im Produktinventar — eine Meldung findet die betroffenen Altprodukte genauso wie die aktuelle Baureihe.
Reicht Kunnus die Meldung bei der ENISA ein?
Die Einreichung in der Single Reporting Platform bleibt bei Ihnen. Kunnus nimmt Ihnen den Weg dorthin ab: Der Fall fragt genau die Angaben ab, die die Plattform je Stufe verlangt, und erzeugt daraus einen strukturierten Export, den Sie eins zu eins übernehmen.
Wer meldet, wenn wir eine Komponente an einen OEM liefern?
Die Meldepflicht trifft den Hersteller des Produkts mit digitalen Elementen — also den, der es unter eigenem Namen oder eigener Marke in Verkehr bringt. Als Zulieferer liefern Sie in der Praxis zu: betroffene Versionen, Behebungsstand, Advisory. In Kunnus führen Sie eigene Fälle für eigene Produkte; für die Zuarbeit zum OEM liegen das Advisory und E-Mail-Vorlagen bereit. Wie die Rollen im konkreten Vertrag liegen, entscheiden Sie.
Wir haben noch keinen Meldeprozess. Was ist das Minimum?
Drei Dinge: eine erreichbare Stelle, an die Schwachstellen gemeldet werden können, eine Richtlinie zur koordinierten Offenlegung und ein Weg, Informationen über behandelte Schwachstellen zu teilen. In Kunnus sind das ein öffentliches Meldeformular mit Tracking-ID, eine Vorlage aus der Policy-Bibliothek und Security Advisories im CSAF-Format.
Brauchen wir dafür ein Bug-Bounty-Programm?
Nein. Gefragt ist ein Weg, auf dem Meldungen ankommen und bearbeitet werden, keine Prämie. Ein Bug-Bounty-Programm kann darauf aufsetzen, ersetzt es aber nicht: Die Grundlage sind eine erreichbare Meldestelle, eine Eingangsbestätigung, eine Triage mit Frist und eine Rückmeldung an den Melder. Genau diese vier Bausteine sind in Kunnus bereits angelegt.
Was passiert, wenn eine Meldung nachts oder im Betriebsurlaub eintrifft?
Der Eingang wird sofort erfasst und quittiert, und Ihr Team wird benachrichtigt; die SLA für Eingangsbestätigung und Triage läuft ab diesem Zeitpunkt sichtbar mit. Die Frist für die Frühwarnung hängt dagegen an einem anderen Zeitpunkt: 24 Stunden nach Kenntnis, ab dem 11. September 2026 — gemeint ist der Moment, in dem eine befugte Person begründete Sicherheit über die aktive Ausnutzung erlangt hat. Dieser Zeitpunkt ist in Kunnus ein eigenes, dokumentiertes Feld am Fall.
Verwandte Funktionen
Schwachstellenmanagement
Erkennung, Triage und Behebung — die Grundlage, aus der jede Meldung entsteht.
AnsehenNachweise & Compliance
Jede Meldung und jedes Advisory wird Teil der auditfähigen Nachweisführung.
AnsehenRisikoanalyse & Threat Modeling
Erkenntnisse aus Vorfällen fließen zurück in die Risikobewertung der Produkte.
AnsehenStand: · Grundlage ist der EU Cyber Resilience Act. Diese Seite ist eine Orientierung, keine Rechtsberatung.
Sehen Sie, wie eine Meldung durch Kunnus läuft
In einer persönlichen Demo gehen wir den Ablauf an einem echten Fall durch — vom Eingang der Meldung bis zum Advisory.
30 Minuten, ohne Vorbereitung Ihrerseits.