Stichtag 11. September 2026
Was zum Stichtag stehen muss
Alle Punkte betreffen die Meldepflicht nach Artikel 14 des Cyber Resilience Act (CRA), der EU-Verordnung 2024/2847. Sie sind nach Aufwand sortiert, nicht nach Wichtigkeit. Die ersten vier lassen sich an einem Nachmittag erledigen, und sie decken den größten Teil des Risikos ab.
Aktualisiert am:
An einem Nachmittag zu erledigen
1Zuständiges CSIRT bestimmen und aufschreiben
Nach Artikel 14 Abs. 7: Hauptniederlassung, hilfsweise die meisten Beschäftigten, ohne Sitz in der Union die vierstufige Kaskade. Das Ergebnis samt Begründung zu den Unterlagen legen.
Üblicherweise: Recht oder Sicherheit - Erledigt am ____________ von ____________________
2EU-Login einrichten
Konto beim Anmeldedienst der Europäischen Kommission anlegen. Ohne dieses Konto gibt es später keinen Zugang zur Meldeplattform.
Üblicherweise: Sicherheit - Erledigt am ____________ von ____________________
3Rollen festlegen: wer meldet, wer entscheidet, wer vertritt
Jede Rolle mit einer benannten Person und einer benannten Vertretung, jeweils mit einer Erreichbarkeit außerhalb der Geschäftszeiten.
Üblicherweise: Geschäftsführung - Erledigt am ____________ von ____________________
4Meldeassistenten einmal probeweise durchlaufen
Der Assistent führt durch alle Felder, die eine Meldung braucht. Einmal vorab durchgespielt, wissen Sie im Ernstfall, wie lange es dauert und was Sie bereithalten müssen.
Üblicherweise: Sicherheit - Erledigt am ____________ von ____________________
In einer Woche zu erledigen
5Betroffenheit je Produkt prüfen und festhalten
Für jedes Produkt einzeln: Ist es ein Produkt mit digitalen Elementen, greift eine Ausnahme, welche Marktrolle haben wir. Ergebnis mit Datum dokumentieren.
Üblicherweise: Produktverantwortung - Erledigt am ____________ von ____________________
6Festlegen, wann Kenntnis als erlangt gilt
Der Zeitpunkt, ab dem die Frist läuft. Wer im Unternehmen kann Kenntnis auslösen, und wie kommt ein Hinweis von dort zur meldenden Stelle? Der Weg über ein Postfach, das montags geleert wird, ist keiner.
Üblicherweise: Sicherheit - Erledigt am ____________ von ____________________
7Meldewege der Kunden und der Versicherung erfassen
Enterprise-Verträge enthalten häufig eigene Informationsfristen, Cyberversicherungen meist 48 bis 72 Stunden. Beide laufen parallel zur Meldung nach Artikel 14.
Üblicherweise: Recht - Erledigt am ____________ von ____________________
8Mustertext für die Nutzerinformation vorbereiten
Nach Artikel 14 Abs. 8, deutsch und englisch. Im Ernstfall bleibt für die Formulierung keine Zeit, und sie entscheidet darüber, wie Kunden die Sache in Erinnerung behalten.
Üblicherweise: Kommunikation - Erledigt am ____________ von ____________________
Länger, aber vor dem ersten Ernstfall
9Stückliste der Softwarebestandteile aufbauen
Ohne sie ist die Frage, welche Komponente betroffen ist, in 72 Stunden nicht zu beantworten. Ab Dezember 2027 ohnehin verlangt.
Üblicherweise: Entwicklung - Erledigt am ____________ von ____________________
10Den Ablauf einmal üben
Ein erfundener Fall an einem Freitagabend, mit Freigabe und gestoppter Zeit. Was dabei reißt, reißt im Ernstfall auch.
Üblicherweise: Alle Beteiligten - Erledigt am ____________ von ____________________
11Auf der Meldeplattform registrieren
Sobald die ENISA die Adresse veröffentlicht. In der Testphase registrieren, nicht im Ernstfall.
Üblicherweise: Sicherheit - Erledigt am ____________ von ____________________
Fangen Sie mit Punkt 1 an
Das zuständige CSIRT ist die einzige der elf Aufgaben, die sich vollständig vorab und ohne fremde Hilfe klären lässt. Sie kostet fünf Minuten und spart im Ernstfall Stunden.
Drei Fragen im Browser. Ergebnis ist ein Mitgliedstaat mit einem Begründungssatz zum Übernehmen.