Hersteller von Produkten mit digitalen Elementen in der EU müssen seit dem 11.09.2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit entsprechender Produkte beeinträchtigen, nach dem Cyber Resilience Act (CRA) aktiv melden.

Die Meldungen erfolgen EU-weit über die von der Europäischen Agentur für Cybersicherheit (ENISA) bereitgestellte Single Reporting Platform (CRA-SRP). Die Informationen gehen an das jeweils zuständige koordinierende Computer Security Incident Response Team (CSIRT) sowie an ENISA. In Deutschland übernimmt das CERT-Bund beim BSI diese koordinierende Aufgabe.

Welches CSIRT zuständig ist, richtet sich bei Herstellern mit Hauptniederlassung in der EU grundsätzlich danach, in welchem Mitgliedstaat die wesentlichen Entscheidungen zur Cybersicherheit der Produkte getroffen werden. Hinweise auf ausgenutzte Schwachstellen können etwa von IT-Sicherheitsdienstleistern oder Kunden kommen.

Bei Herstellern ohne Hauptniederlassung in der EU gelten die Kriterien aus Artikel 14 Absatz 7 des CRA. Dabei können unter anderem der Sitz eines Bevollmächtigten, eines Importeurs oder eines Händlers sowie die Verfügbarkeit des Produkts in einzelnen EU-Mitgliedstaaten eine Rolle spielen.

Die CRA-SRP soll einen zentralen, vertraulichen und benutzerfreundlichen Meldeweg bieten. Eine Meldung über das koordinierende CSIRT kann gleichzeitig die zuständigen CSIRTs der Mitgliedstaaten erreichen, in denen das Produkt angeboten wird. Eine vorherige Registrierung ist nicht erforderlich; BSI und ENISA stellen weitere Informationen zur Nutzung der Plattform bereit.