Kostenlos - drei Fragen - rechnet im Browser
Welches CSIRT ist für meine CRA-Meldung zuständig?
Zuordnung nach Artikel 14 Abs. 7
Zuständig ist das CSIRT des Mitgliedstaats Ihrer Hauptniederlassung, also dort, wo die Entscheidungen über die Cybersicherheit Ihrer Produkte überwiegend getroffen werden. Ohne Sitz in der Union greift eine vierstufige Kaskade. Der Assistent bestimmt den Mitgliedstaat in drei Fragen und formuliert die Begründung für Ihre Akte.
Aktualisiert am:
Das liefert die CSIRT-Zuordnung
- Der zuständige Mitgliedstaat, hergeleitet über die Stufenfolge des Artikels 14 Abs. 7
- Ein ausformulierter Begründungssatz für Ihre Unterlagen, per Klick in der Zwischenablage
- Die Angabe, ob Sie das einmal gewählte CSIRT für künftige Meldungen beibehalten dürfen
- Die drei amtlichen Verzeichnisse, in denen die Kontaktdaten stehen werden
3 Fragen - etwa 3 Minuten - ohne Anmeldung
Den konkreten Meldeendpunkt können wir nicht liefern: Die ENISA hat die Liste der benannten Koordinatoren noch nicht veröffentlicht. Wir erfinden dafür keine Adresse.
Frage 1 von 3
Hat Ihr Unternehmen eine Niederlassung in der Union?
Diese Frage entscheidet über den ganzen weiteren Weg. Mit Niederlassung gilt eine zweistufige Regel, ohne Niederlassung eine vierstufige Kaskade, die kaum jemand kennt.
Die Stufenfolge des Artikels 14 Abs. 7 im Überblick
Geprüft wird von oben nach unten. Die erste Stufe, die greift, entscheidet. Die unteren vier gelten nur für Hersteller ohne Niederlassung in der Union. Eingereicht wird die Meldung anschließend nicht beim CSIRT selbst, sondern über die Meldeplattform der ENISA; parallel dazu laufen die drei Fristen des Artikels 14 weiter.
| Stufe | Anknüpfungspunkt | Gilt für |
|---|---|---|
| 1 | Hauptniederlassung in der Union Zuständig ist der Mitgliedstaat, in dem die Entscheidungen über die Cybersicherheit der Produkte überwiegend getroffen werden. | Mit Sitz in der Union |
| 2 | Meiste Beschäftigte in der Union Lässt sich die Hauptniederlassung nicht bestimmen, ist der Mitgliedstaat zuständig, in dem Sie die meisten Beschäftigten haben. | Mit Sitz in der Union |
| 3 | Sitz des Bevollmächtigten Ohne Niederlassung in der Union entscheidet zuerst der Sitz des Bevollmächtigten, der die meisten Ihrer Produkte betreut. | Ohne Sitz in der Union |
| 4 | Sitz des Einführers Gibt es keinen Bevollmächtigten, entscheidet der Sitz des Einführers, der die meisten Ihrer Produkte einführt. | Ohne Sitz in der Union |
| 5 | Sitz des Händlers Gibt es auch keinen Einführer, entscheidet der Sitz des Händlers, der die meisten Ihrer Produkte bereitstellt. | Ohne Sitz in der Union |
| 6 | Meiste Nutzer Zuletzt entscheidet der Mitgliedstaat, in dem Ihre Produkte die meisten Nutzer haben. | Ohne Sitz in der Union |
GrundlageArt. 14 Abs. 7 CRAArt. 14 Abs. 1 CRA
Häufige Fragen zur Zuständigkeit des CSIRT
- Welches CSIRT ist für die Meldung nach Artikel 14 CRA zuständig?
- Das als Koordinator benannte CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Hauptniederlassung ist der Ort, an dem die Entscheidungen über die Cybersicherheit der Produkte überwiegend getroffen werden, also nicht der Ort der Handelsregistereintragung und nicht der Sitz der Rechtsabteilung. Lässt sich das nicht bestimmen, entscheidet der Mitgliedstaat mit den meisten Beschäftigten in der Union.
- Was gilt für Hersteller ohne Niederlassung in der Union?
- Dann greift eine vierstufige Kaskade in fester Reihenfolge: der Sitz des Bevollmächtigten mit den meisten betreuten Produkten, hilfsweise der Sitz des Einführers mit den meisten eingeführten Produkten, hilfsweise der Sitz des Händlers mit den meisten bereitgestellten Produkten, zuletzt der Mitgliedstaat mit den meisten Nutzern. Nur bei dieser letzten Variante darf der Hersteller für alle künftigen Meldungen bei dem einmal gewählten CSIRT bleiben.
- Muss man an das CSIRT und an die ENISA getrennt melden?
- Nein. Die Meldung geht gleichzeitig an beide, eingereicht wird sie aber nur einmal, nämlich über die einheitliche Meldeplattform, die die ENISA nach Artikel 16 errichtet. Die Plattform leitet automatisch an die betroffenen nationalen CSIRTs weiter.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 14 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 14 Abs. 7 CRA
Bestimmung des zuständigen CSIRT: Hauptniederlassung in der Union, hilfsweise der Mitgliedstaat mit den meisten Beschäftigten, bei fehlender Niederlassung in der Union eine Kaskade über Bevollmächtigten, Einführer, Händler und Zahl der Nutzer.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
- Art. 14 Abs. 1 CRA
"Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA."
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.