Artikel 16 - Single Reporting Platform
Meldeplattform der ENISA
Wie die CRA-Meldung eingereicht wird
Eine Einreichung, nicht 27. Die Plattform der ENISA ist die gemeinsame Anlaufstelle für alle Meldungen nach Artikel 14 und leitet automatisch weiter. Der Zugang muss allerdings vorher eingerichtet sein, und genau daran scheitert es im Ernstfall.
Aktualisiert am:
Der Weg
Eine Einreichung statt 27: die Plattform verteilt automatisch
Die Meldung geht gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA. Man kontaktiert nicht beide separat und schon gar nicht die CSIRTs aller Mitgliedstaaten, in denen das Produkt verkauft wird. Die Plattform übernimmt die Verteilung: an das koordinierende CSIRT, an die ENISA, von dort weiter an die CSIRTs der betroffenen Mitgliedstaaten und, soweit erforderlich, an die Marktüberwachungsbehörden.
GrundlageArt. 14 Abs. 1 CRAArt. 16 CRA
Die Hürde
Wie bekomme ich Zugang?
Über EU-Login und Registrierung, vorab
Für den Zugriff wird ein Konto beim Anmeldedienst der Europäischen Kommission gebraucht. Danach registriert sich das Unternehmen mit einem benannten Vertreter. Dessen Bestätigung übernimmt das koordinierende CSIRT nach dem ersten Zugriff; sie läuft parallel und blockiert das Einreichen nicht.
Ein EU-Login lässt sich heute in zehn Minuten einrichten. Im Ernstfall kostet dieselbe Aufgabe Stunden, die es nicht gibt.
Die Folge fürs Produkt
Gibt es eine Programmierschnittstelle?
Vorerst nein
Die ENISA stellt zum Start keine Programmierschnittstelle bereit. Jede Meldung wird von Hand in ein Webformular getippt, im Zweifel nachts, unter Druck, von jemandem, der es noch nie gemacht hat.
Das ist der Grund, warum die Vorbereitung mehr wert ist als jedes Werkzeug zur Einreichung: Automatisieren lässt sich nicht die Abgabe, sondern nur der Weg dorthin. Wer die Feldinhalte fertig formuliert vorliegen hat, überträgt sie in Minuten. Wer sie erst schreibt, braucht Stunden.
Stand vom 1. August 2026
Was zu diesem Zeitpunkt noch offen war
Die Liste der benannten CSIRT-Koordinatoren ist noch nicht veröffentlicht
Welcher Mitgliedstaat zuständig ist, ergibt sich aus Artikel 14 Abs. 7 und lässt sich heute bestimmen. Welches Team dort als Koordinator im Sinne der Verordnung benannt ist und über welchen elektronischen Endpunkt es erreichbar sein wird, veröffentlicht die ENISA vor dem Start der Meldeplattform. Bis dahin bleibt dieser Punkt offen, und zwar für alle Hersteller gleichermaßen.
Die Meldeplattform ist noch nicht erreichbar
Die Plattform soll zum 11. September 2026 betriebsbereit sein; funktionale Tests und Sicherheitstests laufen, eine Testphase davor ist vorgesehen. Ihre Adresse wird erst vor dem Start veröffentlicht. Wer sich vorbereiten will, richtet in der Zwischenzeit das EU-Login ein, denn das ist die Voraussetzung für die spätere Registrierung.
Der Weg
Fünf Schritte, die vor dem 11. September 2026 erledigt sein sollten
EU-Login einrichten
Ein Konto beim Anmeldedienst der Europäischen Kommission anlegen. Das ist die Voraussetzung für alles Weitere und lässt sich heute erledigen, unabhängig davon, ob die Plattform schon erreichbar ist.Benannten Vertreter festlegen
Bestimmen Sie im Unternehmen, wer die Registrierung übernimmt und wer ihn vertritt. Eine einzelne Person ohne Vertretung ist bei einer 24-Stunden-Frist keine Lösung.Zuständiges CSIRT bestimmen und dokumentieren
Die Zuordnung nach Artikel 14 Abs. 7 einmal treffen und schriftlich festhalten. Sie wird für die Registrierung gebraucht und im Ernstfall ohnehin.Registrieren, sobald die Plattform erreichbar ist
Die Adresse der Plattform veröffentlicht die ENISA vor dem Start. Registrieren Sie sich in der Testphase und nicht im Ernstfall.Den Ablauf einmal üben
Ein erfundener Fall an einem Freitagabend, mit Freigabe und Zeitmessung. Was dabei reißt, reißt im Ernstfall auch, nur teurer.
Zum Nachschlagen
Die drei amtlichen Quellen zur Meldeplattform
Adresse der Plattform, Anleitungen und die Liste der benannten Koordinatoren veröffentlicht die ENISA an diesen Stellen. Wir verweisen darauf, statt Angaben zu wiederholen, die sich ändern.
- CSIRTs Network
Das Netz der von den Mitgliedstaaten benannten CSIRTs. Die Startseite führt das jeweils benannte CSIRT je Mitgliedstaat.
- CSIRTs by Country, interaktive Karte der ENISA
Verzeichnis aller erfassten Teams, filterbar nach Land und nach Mitgliedschaft im CSIRTs Network.
- Einheitliche Meldeplattform der ENISA
Die Seite zur Meldeplattform. Hier werden die Adresse der Plattform und die Liste der benannten Koordinatoren veröffentlicht.
Der Notfall im Notfall
Was tun, wenn die Plattform im Ernstfall ausfällt?
Dass eine neue Plattform am ersten Tag unter Last steht, ist keine unwahrscheinliche Annahme. Für Sie ändert das nichts an der Frist, aber viel an der Beweislage: Was Sie belegen können, ist, wann Sie Kenntnis erlangt haben, wann Sie die Einreichung versucht haben und was dabei geschah.
Genau dafür ist die Fallakte da. Sie ist kein Ersatz für die Einreichung, aber sie ist der Unterschied zwischen einem dokumentierten Versuch und einer Behauptung.
Nachgefragt
Häufige Fragen zur Meldeplattform der ENISA
- Wo wird eine Meldung nach Artikel 14 CRA eingereicht?
- Über die einheitliche Meldeplattform, die die ENISA nach Artikel 16 CRA errichtet und betreibt. Eine Einreichung genügt: Die Plattform leitet an das als Koordinator benannte CSIRT und an die ENISA weiter, das CSIRT wiederum an die CSIRTs der Mitgliedstaaten, in denen das Produkt bereitgestellt wurde, und an die Marktüberwachungsbehörden, soweit erforderlich.
- Gibt es eine Programmierschnittstelle für automatisierte Meldungen?
- Zum Start nicht. Die ENISA stellt vorerst keine Schnittstelle bereit. Meldungen werden über die Weboberfläche eingereicht. Interne Abläufe lassen sich vorbereiten, die Einreichung selbst nicht automatisieren.
- Wie bekommt man Zugang zur Meldeplattform?
- Über ein EU-Login, das vorab eingerichtet werden muss. Danach registriert sich das Unternehmen mit einem benannten Vertreter. Die Bestätigung dieses Vertreters übernimmt das als Koordinator benannte CSIRT nach dem ersten Zugriff. Sie läuft parallel und blockiert das Einreichen einer Meldung nicht.
- Was tut man, wenn die Plattform im Ernstfall nicht erreichbar ist?
- Die eigene Dokumentation wird dadurch wichtiger, nicht überflüssig. Halten Sie fest, wann Sie Kenntnis erlangt haben, wann Sie die Einreichung versucht haben und was dabei geschah. Eine Fallakte mit dieser Zeitleiste ist der Nachweis, dass fristgerecht gehandelt wurde, auch wenn die Einreichung scheiterte.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 14 und Art. 16 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 14 Abs. 1 CRA
"Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA."
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 16 CRA
Die ENISA errichtet und betreibt eine einheitliche Meldeplattform als gemeinsame Anlaufstelle für die Meldungen nach Artikel 14.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Der erste Schritt kostet zehn Minuten
Richten Sie das EU-Login ein und bestimmen Sie, wer im Unternehmen der benannte Vertreter ist und wer ihn vertritt. Beides geht heute, unabhängig davon, wann die Plattform erreichbar wird.
Eine Seite zum Ausfüllen und Aushängen: wer meldet, wer entscheidet, wer vertritt, mit Erreichbarkeiten außerhalb der Geschäftszeiten.