CRA-Vorfallsmeldung: die Fristen von 24 Stunden, 72 Stunden und 14 Tagen

Der größte Teil der CRA-Meldepflicht läuft auf eine Frage hinaus, die unter Druck oft falsch beantwortet wird: Wann beginnt die Uhr eigentlich zu laufen, und wie viel Zeit habe ich wirklich? Die Antwort lautet nicht „ein paar Tage". Es ist eine dreistufige Abfolge, gemessen in Kalenderstunden ab dem Moment der Kenntnisnahme — und jede Stufe hat ihre eigene Frist, die durch die Nacht, das Wochenende und den Feiertag weiterläuft.

In diesem Leitfaden geht es um die Mechanik dieser Uhr. Für das Schritt-für-Schritt-Playbook — wer meldet, wie man sich registriert, wie Bereitschaft aussieht — lesen Sie unseren begleitenden Leitfaden zur ENISA-24-Stunden-Meldung. Hier konzentrieren wir uns auf den Zeitablauf selbst.

Nicht sicher, ob der CRA für Ihr Produkt gilt? Machen Sie zuerst den kostenlosen 3-Minuten-Scope-Check.

Wann beginnt die Uhr zu laufen?

Die Uhr startet in dem Moment, in dem Sie von einer von zwei Sachen Kenntnis erlangen (Artikel 14 der Verordnung (EU) 2024/2847):

1. Einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt — das heißt, es gibt Belege dafür, dass sie tatsächlich ausgenutzt wird, nicht bloß dass ein CVE veröffentlicht wurde.
2. Einem schwerwiegenden Vorfall, der die Sicherheit Ihres Produkts beeinträchtigt — etwa der Kompromittierung Ihrer Build-Pipeline oder Ihrer Update-Infrastruktur.

Die „Kenntniserlangung" ist eine niedrige Schwelle, und sie ist das Wichtigste, was Sie richtig machen müssen, denn sie verankert alle drei Fristen. Eine Kunden-E-Mail, die Offenlegung durch einen Sicherheitsforscher, ein Forenbeitrag, der Ihr Produkt nennt, oder eine Warnung aus Ihrem eigenen Monitoring — jedes davon kann die Uhr in Gang setzen, zu jeder Stunde, an jedem Tag. Es gibt keine Schonfrist, um die Meldung zuerst zu bestätigen: Die Kenntnis eines glaubwürdigen Signals startet den Zähler. Die Entscheidung, ob eine bestimmte Schwachstelle wirklich ausgenutzt wird, ist genau die Beurteilung, die unser Leitfaden zur Schwachstellen-Triage behandelt.

Beachten Sie: Eine veröffentlichte Schwachstelle, die niemand ausnutzt, startet diese Uhr nicht. Sie müssen sie im Rahmen Ihrer Schwachstellen-Handhabungspflichten weiterhin beheben, doch die 24-Stunden-Frühwarnung ist der aktiven Ausnutzung und schwerwiegenden Vorfällen vorbehalten.

Die dreistufige Uhr

Sobald die Uhr läuft, werden drei Meldungen nacheinander fällig, jede mit mehr Detail als die vorige:

Zwei Dinge daran, wie die Uhr läuft, bringen Teams ins Straucheln:

Es ist Kalenderzeit, keine Geschäftszeit. Vierundzwanzig Stunden bedeuten vierundzwanzig Stunden — nicht einen Arbeitstag. Wenn Sie um 18:00 Uhr an einem Freitag Kenntnis erlangen, ist die Frühwarnung bis 18:00 Uhr am Samstag fällig. Die 72-Stunden- und die 14-Tage-Fenster verhalten sich genauso. Wochenenden und Feiertage liegen innerhalb des Zählers, nicht drumherum pausiert.

Die Stufen sind kumulativ, keine Alternativen. Die Frühwarnung einzureichen erledigt die Pflicht nicht; sie eröffnet sie. Die 72-Stunden-Meldung und der Abschlussbericht werden danach weiterhin fällig, jeweils ab demselben Moment der Kenntnisnahme gemessen — nicht ab dem Zeitpunkt, zu dem Sie die vorige Stufe eingereicht haben.

An wen melden Sie?

Alle drei Meldungen gehen an dieselben zwei Stellen, über einen Kanal:

• Die ENISA, über die zentrale Meldeplattform, die der CRA zu diesem Zweck einrichtet. Eine Einreichung, ein Konto, dieselbe Plattform für jede Stufe.
• Die CSIRT des Mitgliedstaats, in dem Ihre Hauptniederlassung liegt (in Belgien die CCB, in Deutschland das BSI/CERT-Bund, in den Niederlanden das NCSC-NL und so weiter).

Sie wählen nicht zwischen ihnen, und Sie melden nicht zweimal von Hand — die Plattform leitet an die zuständige CSIRT weiter. Die praktische Voraussetzung ist, Ihre nationale CSIRT im Voraus zu kennen und schon vor einem Vorfall ein registriertes Konto zu besitzen, damit Stufe 1 ein Einloggen-und-Absenden ist, kein Anmelden-unter-Druck.

Was meldepflichtig ist und was nicht

Nicht jedes Sicherheitsereignis setzt diese Uhr in Gang. Der Auslöser ist bewusst eng gefasst:

• Meldepflichtig: eine aktiv ausgenutzte Schwachstelle (Belege für Ausnutzung in freier Wildbahn) oder ein schwerwiegender Vorfall, der die Sicherheit Ihres Produkts beeinträchtigt. Diese starten die 24-Stunden-Uhr.
• Auf dieser Uhr nicht meldepflichtig: ein neu veröffentlichtes CVE ohne Belege für Ausnutzung, eine Schwachstelle, die Sie intern finden und beheben, bevor jemand sie ausnutzt, oder ein Routine-Bug ohne Sicherheitsauswirkung. Diese gehören in Ihren gewöhnlichen Schwachstellen-Handhabungsprozess, nicht an die Vorfallsuhr.

Die Unterscheidung zählt, weil Über- und Untermeldung beide Kosten verursachen: Die ENISA mit nicht ausgenutzten CVEs zu fluten verschwendet die Zeit aller, während das Übersehen einer echten Ausnutzung ein Compliance-Verstöß ist. Die Triage-Entscheidung richtig zu treffen ist das, was die Uhr ehrlich hält.

Wie die Uhr in den Rest des CRA passt

Diese Meldepflicht gilt ab dem 11. September 2026, und sie erfasst Produkte, die bereits auf dem Markt sind — einschließlich alles, was Sie vor 2026 ausgeliefert haben. Sie ist die erste CRA-Pflicht, die greift, deutlich vor der Frist zur vollständigen Konformität im Dezember 2027. Wenn Sie den gesamten gestaffelten Zeitplan aufzeichnen, legt unser Leitfaden zu den CRA-Fristen dar, wie die beiden Daten zusammenhängen.

Die gute Nachricht: Für die Uhr bereit zu sein und für 2027 bereit zu sein schöpfen aus demselben Fundament: ein aktueller SBOM, damit Sie die Auswirkung schnell beurteilen können, ein laufendes Schwachstellen-Monitoring, damit Sie früh Kenntnis erlangen, und vorbefüllte Vorlagen, damit das Einreichen eine Ausfüllübung ist statt einer Schreibaufgabe. Eine dedizierte CRA-Compliance-Software hält dieses Fundament an einem Ort, sodass die Uhr etwas ist, das Sie beobachten, statt etwas, das Sie kalt erwischt.

Bringen Sie das Fundament vor September in Ordnung: prüfen Sie kostenlos den Scope und die Klasse Ihres Produkts — drei Minuten, keine Anmeldung.