Kostenlos - eine Eingabe - rechnet im Browser
CRA-Fristenrechner
24-Stunden- und 72-Stunden-Frist nach Artikel 14 berechnen
Tragen Sie den Zeitpunkt der Kenntniserlangung ein. Sie bekommen alle drei Meldetermine mit Datum, Uhrzeit, Herleitung und Rechtsgrundlage, dazu eine Kalenderdatei mit Erinnerung. Der Rechner unterscheidet die beiden Meldestränge, weil ihre Abschlussfristen verschieden gerechnet werden.
Das liefert der Fristenrechner
- Frühwarnung, Meldung und Abschlussbericht mit Datum, Uhrzeit und Zeitzone, jeweils mit der Herleitung und dem Artikel, auf dem die Frist beruht
- Kalenderdatei mit einem Termin je Meldestufe und Erinnerung zwei Stunden vorher, zum Import in Outlook, Google Kalender oder Apple Kalender
- Eine Ampel je Stufe und eine mitlaufende Uhr bis zur nächsten Frist
1 Pflichtangabe - Ergebnis sofort - ohne Anmeldung
Die Zeitangaben werden nicht übertragen und nicht gespeichert. In den Termintiteln der Kalenderdatei steht bewusst nichts über den Vorfall selbst.
Ihre Angaben zum Vorfall
Alles rechnet in diesem Browserfenster. Die Zeitangaben werden nicht übertragen und nicht gespeichert.
Der Moment, in dem Ihr Unternehmen Kenntnis erlangt hat. Ab hier laufen 24 und 72 Stunden. Gerechnet wird in Ihrer Zeitzone.
Optional. Erst dieser Zeitpunkt startet die 14 Tage für den Abschlussbericht. Solange er offen ist, gibt es kein Abschlussdatum, und der Rechner erfindet auch keines.
Wie die Fristen zusammenhängen: beide Stränge auf einer Zeitachse
Die 24 und die 72 Stunden laufen in beiden Meldesträngen ab demselben Zeitpunkt, der Kenntniserlangung. Erst der Abschlussbericht trennt sie: Bei der aktiv ausgenutzten Schwachstelle hängt er an einem technischen Ereignis, beim schwerwiegenden Vorfall an einer eigenen Handlung.
Häufige Fragen zur Berechnung der Meldefristen
- Ab welchem Zeitpunkt laufen die 24 und die 72 Stunden?
- Beide Fristen laufen ab dem Zeitpunkt, zu dem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Sicherheitsvorfall erlangt hat. Die 72 Stunden laufen nicht ab der Frühwarnung, sondern ebenfalls ab Kenntnis.
- Wann ist der Abschlussbericht fällig?
- Bei einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist. Bei einem schwerwiegenden Sicherheitsvorfall innerhalb eines Monats nach der 72-Stunden-Meldung. Im ersten Fall startet ein technisches Ereignis die Frist, im zweiten eine eigene Handlung.
- Was gilt, wenn die Frist an einem Wochenende oder Feiertag endet?
- Artikel 14 nennt Stundenfristen und knüpft sie an die Kenntniserlangung. Eine Regel, die auf den nächsten Werktag verschiebt, enthält er nicht. Wer sich darauf verlässt, geht ein Risiko ein, das sich mit einer Rufbereitschaft vermeiden lässt.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 14 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 14 Abs. 2 Buchst. a CRA
"unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 2 Buchst. b CRA
"unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 2 Buchst. c CRA
"spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, einen Abschlussbericht"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 4 Buchst. c CRA
Abschlussbericht binnen eines Monats nach der Vorfallmeldung: detaillierte Beschreibung samt Schweregrad und Auswirkung, Art der Bedrohung oder wahrscheinliche Grundursache, angewandte und laufende Minderungsmaßnahmen.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Was ein Verstoß kostet
bis 15.000.000 EUR
oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Dieser Rahmen gilt für Verstöße gegen die Meldepflichten des Artikels 14. Für andere Verstöße gegen die Verordnung sieht Artikel 64 abgestufte, niedrigere Rahmen vor. Die Mitgliedstaaten legen die Sanktionen national fest.
- Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt. Von der Meldepflicht selbst befreit sie das nicht.
- Die praktisch schärfere Folge steht in Artikel 14 Abs. 8: Unterrichtet der Hersteller seine Nutzer nicht rechtzeitig, dürfen die CSIRTs das selbst tun. Was das bedeutet
Grundlage: Art. 64 CRA