Einheitliche Meldeplattform

Die einheitliche Meldeplattform (Single Reporting Platform, SRP) ist das Webportal, über das Hersteller die Meldungen abgeben, die der Cyber Resilience Act (CRA) verlangt: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die ihre Produkte betreffen. Die ENISA, die Agentur der Europäischen Union für Cybersicherheit, betreibt sie nach Artikel 16 der Verordnung (EU) 2024/2847. Sie ging am 11. September 2026 an den Start, dem Tag, an dem die Meldepflichten des CRA zu gelten begannen.

Was gemeldet wird und bis wann

Hersteller melden zwei Arten von Ereignissen: eine aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen und einen schwerwiegenden Vorfall, der die Sicherheit eines solchen Produkts beeinträchtigt. Beide Begriffe definiert die Verordnung. Jede Meldung läuft in drei Schritten:

Schritt	Frist	Gilt für
Frühwarnung	Innerhalb von 24 Stunden nach Kenntnisnahme	Beides
Meldung	Innerhalb von 72 Stunden nach Kenntnisnahme	Beides
Abschlussbericht	Innerhalb von 14 Tagen, nachdem ein Fix oder eine Abhilfe verfügbar ist	Aktiv ausgenutzte Schwachstellen
Abschlussbericht	Innerhalb eines Monats nach der Meldung	Schwerwiegende Vorfälle

Die Fristen legt Artikel 14 des CRA fest, nicht das Portal, und die SRP-FAQ der ENISA wiederholt sie. Die Pflicht erfasst auch Produkte, die bereits auf dem Markt sind, nicht nur solche, die nach der vollen Anwendung des CRA in Verkehr gebracht werden. Artikel 14 verlangt außerdem, dass Hersteller die betroffenen Nutzer informieren, und das tun sie selbst: Die Plattform erreicht Behörden, nicht Kunden.

Wer eine Meldung erhält

Ein Hersteller reicht jede Meldung einmal ein. Sie geht gleichzeitig an das CSIRT, das im Mitgliedstaat der Hauptniederlassung des Herstellers als Koordinator benannt ist, und an die ENISA, außer unter besonders außergewöhnlichen Umständen. Der Koordinator leitet sie an die CSIRTs der anderen Mitgliedstaaten weiter, in denen das Produkt erhältlich ist. Die ENISA listet die benannten Koordinatoren auf ihrer SRP-Seite.

Sobald eine gemeldete Schwachstelle behoben ist, kann die ENISA sie im Einvernehmen mit dem Hersteller in der Europäischen Schwachstellendatenbank (EUVD) offenlegen. Wie die EUVD mit CVE-IDs zusammenhängt, erklärt der Eintrag CVE.

Wie der Zugang funktioniert

Hersteller handeln auf der Plattform über Assigned Representatives (ARs). Jeder AR meldet sich mit einem persönlichen EU-Login-Konto mit Multi-Faktor-Authentifizierung an. Ein Hersteller hat einen Primary AR, der bis zu 20 Secondary ARs einladen kann, und sie können die Meldungen des Herstellers einreichen und aktualisieren. Ein Hersteller mit mehreren Konzerngesellschaften stimmt intern ab, wer für welche Einheit meldet.

Was die Plattform noch nicht kann

Stand November 2026, laut der SRP-FAQ:

• Keine API. Zum ersten Release gibt es keine Programmierschnittstelle, Meldungen werden also über die Weboberfläche eingegeben. Die ENISA schreibt, dass eine API in einer späteren Phase erwogen werden kann und dass Organisationen ihre eigenen internen Meldeabläufe automatisieren können.
• Noch keine freiwilligen Meldungen. Freiwillige Meldungen nach Artikel 15, etwa zu einer nicht aktiv ausgenutzten Schwachstelle, sind für eine spätere Phase geplant. Derzeit nimmt die Plattform nur die Pflichtmeldungen an.

Die ENISA nennt die Startversion ihre anfängliche Betriebsfähigkeit und plant, sie zu erweitern. Laut ihrer Startankündigung gelten die Meldepflichten von Verwaltern quelloffener Software (Open-Source Software Stewards) ab dem 11. Dezember 2027.

Bereit sein für die Meldung

Die 24 Stunden beginnen, wenn Sie von der Ausnutzung erfahren, also passiert die meiste Arbeit, bevor sich jemand anmeldet:

• Registrieren Sie Ihre Assigned Representatives, bevor Sie sie brauchen, mit einer Vertretung in einer anderen Zeitzone.
• Legen Sie vorab fest, wer entscheidet, dass eine Schwachstelle als aktiv ausgenutzt gilt, und wie schnell.
• Führen Sie pro Version ein Verzeichnis der Komponenten jedes Produkts, damit Sie die betroffenen Produkte und Versionen innerhalb von Stunden benennen können. Siehe Build-Time-SBOMs und Sind wir von einer CVE betroffen?.
• Bereiten Sie die Mitteilung an betroffene Nutzer vor, denn die Plattform verschickt sie nicht.
• Bewahren Sie den eingereichten Text und die Zeitstempel für Ihre eigenen Unterlagen auf.

CRACI bereitet den Inhalt der CRA-Meldungen vor (Frühwarnung, Meldung und Abschlussbericht); eine Person beim Hersteller reicht sie über die einheitliche Meldeplattform ein.

Zur Verordnung insgesamt siehe Was ist der CRA, den CRA-Leitfaden und den Glossareintrag CRA. Wie ein Produktsicherheitsteam das im Alltag handhabt, beschreibt PSIRT.