Schwachstelle entdeckt, CRA-Uhr läuft: So gehen Sie vor

1. Erkennung & Triage - Vorfall einordnen, intern eskalieren 
2. 24h-Frühwarnung an CSIRT und ENISA 
3. 72h-Meldung mit erster Bewertung 
4. Laufende Behebung und Nutzerkommunikation 
5. 14-Tage-Abschlussbericht mit Lessons Learned 

Die Frist steht seit Monaten fest. Trotzdem herrscht in vielen IT-Teams Unklarheit über das Wichtigste: Wer macht in Stunde 1 eigentlich was, wenn eine aktiv ausgenutzte Schwachstelle im eigenen Produkt auftaucht? 

Genau hier setzt dieser Artikel an. Statt den Cyber Resilience Act noch einmal zu erklären, zeigen wir Ihnen den Prozess, den Sie jetzt aufsetzen müssen, in fünf konkreten Schritten. Am Ende erfahren Sie, wie Sie prüfen, ob dieser Prozess in Ihrem Unternehmen auch im Ernstfall trägt. 

Kurzer Scope-Hinweis vorab: Die Meldepflicht nach Art. 14 CRA gilt ab 11. September 2026. Die vollständigen Produktpflichten des CRA (SBOM, CE-Kennzeichnung, Security-by-Design) folgen erst ab 11. Dezember 2027, hier geht es ausschließlich um den Meldeprozess. 

Schritt 1: Erkennung & Triage 

Nicht jede Schwachstelle ist meldepflichtig. Relevant sind nur aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in Produkten mit digitalen Elementen. Der erste Schritt ist deshalb keine Meldung, sondern eine Einordnung: Liegt ein CRA-relevanter Fall vor, oder ein normaler Patch-Vorgang?

Klären Sie intern vorab, wer diese Einordnung trifft. In der Praxis bewährt sich ein fester Eskalationspfad: Wer entdeckt (SOC, Entwicklung, externer Hinweisgeber) meldet an eine benannte Stelle (z. B. CISO oder Incident-Response-Verantwortlichen), die über die CRA-Relevanz entscheidet und die externe Meldung anstößt. Bei ausgelagerter Entwicklung, etwa im IT-Outsourcing, muss vorab vertraglich klar sein: Wer meldet, der Auftraggeber oder der Hersteller? 

Schritt 2: 24h-Frühwarnung an CSIRT & ENISA 

Steht die Meldepflicht fest, beginnt die 24-Stunden-Frist ab Kenntniserlangung. Die Frühwarnung geht an das zuständige CSIRT und an ENISA. Zuständig ist das CSIRT des Mitgliedstaats, in dem die Entscheidungen zur Cybersicherheit Ihres Produkts überwiegend getroffen werden (Art. 14 Abs. 7 CRA), nicht zwingend der Sitz Ihrer Hauptniederlassung. Lässt sich das nicht eindeutig bestimmen, zählt der Mitgliedstaat mit der höchsten Beschäftigtenzahl in der Union. 

Ein Hinweis zur Praxis: Die zentrale ENISA-Meldeplattform soll laut Ankündigung genau zum Stichtag 11. September 2026 betriebsbereit sein. Das bedeutet: Es gibt praktisch keinen Puffer für Anlaufschwierigkeiten. Klären Sie vorab einen Fallback-Kontaktweg, falls die Plattform am ersten Tag nicht reibungslos läuft. 

Schritt 3: 72h-Meldung mit Erstbewertung 

Innerhalb von 72 Stunden folgt eine vertiefte Meldung mit erster Einschätzung von Schweregrad und Auswirkungen. Anders als die Frühwarnung, die vor allem auf Schnelligkeit zielt, verlangt dieser Schritt bereits eine fundierte technische Bewertung, das braucht Vorbereitung: Wer liefert die Bewertung, und auf welcher Datengrundlage? 

Schritt 4: Laufende Behebung & Kommunikation 

Parallel zur Meldung läuft die eigentliche Behebung. Nach Art. 14 Abs. 8 CRA müssen Sie betroffene Nutzer über die Schwachstelle informieren und, wo möglich, über Maßnahmen zur Abhilfe. Bereiten Sie entsprechende Kommunikationsvorlagen und Verteiler deshalb im Vorfeld vor, nicht erst im Ernstfall. Bei vernetzten Medizinprodukten (HealthTech) kann zusätzlich zu prüfen sein, ob parallele medizinprodukterechtliche Meldepflichten greifen, das ist im Einzelfall zu klären. 

Schritt 5: 14-Tage-Abschlussbericht 

Der Abschlussbericht dokumentiert den vollständigen Vorfall inklusive Lessons Learned. Er ist zugleich der Nachweis, dass der Prozess funktioniert hat, und die Grundlage, um ihn für den nächsten Vorfall zu verbessern. 

Wenn Sie bereits nach BSI C5 oder SOC 2 zertifiziert sind, haben Sie einen strukturellen Vorteil: Beide Standards verlangen in der Regel bereits dokumentierte Incident-Response-Prozesse und definierte Meldewege. Diese Basis lässt sich für die CRA-Meldepflicht direkt weiternutzen, sie ersetzt sie jedoch nicht.