CRA · EN 40000-1-3 · September 2026

Was muss ich bis zum 11. September 2026 nach dem Cyber Resilience Act (CRA) nachweisen?

Bis zum 11. September 2026 verlangt EN 40000-1-3 drei dokumentierte Nachweise, nämlich einen öffentlichen Meldekanal, ein internes Triage-Handbuch mit benannten Zuständigen und einen Nachweispfad mit zehnjähriger Aufbewahrung.

Wichtigste Punkte

Der 11. September 2026 ist der Tag, an dem die Meldepflichten nach Artikel 14 beginnen.
EN 40000-1-3 verlangt keinen bestimmten Vordruck. Verlangt wird der Nachweis, dass ein Prozess und benannte Zuständige bestehen.
Aufzeichnungen sind nach CRA Artikel 14(8) mindestens zehn Jahre aufzubewahren.
Die Meldefristen betragen 24 Stunden für die Frühwarnung, 72 Stunden für die ausführliche Meldung und 14 Tage für den Abschlussbericht.

01EN 40000-1-3 §7.1 + §4.2

Öffentlicher Meldekanal

Ein Hersteller braucht einen veröffentlichten, maschinenlesbaren Weg, über den Sicherheitsforscher und Anwender Schwachstellen melden können. Die Adresse steht in der Produktdokumentation. Ohne sie fehlt die Zusicherung zum Schutz der Meldenden, wenn eine Schwachstelle öffentlich wird, bevor der Hersteller davon erfährt.

Ab der Anmeldung aktiv, ohne Konfiguration.

Meldeportal in eigener Marke
Öffentlich erreichbar und ohne Konto nutzbar.
Maschinenlesbare security.txt
Nach RFC 9116 unter /.well-known/security.txt, was die Anforderung an die Maschinenlesbarkeit direkt erfüllt.
Veröffentlichte Offenlegungsrichtlinie
Anwendungsbereich, Zusicherung zum Schutz der Meldenden, Reaktionszeiten nach Schweregrad und Kontaktangaben.

Ihre Aufgabe

Die Adresse der Richtlinie in die Produktdokumentation oder auf die Verpackung aufnehmen.

02EN 40000-1-3 §8.1

Internes Triage-Handbuch

Ein Hersteller braucht dokumentierte Regeln dazu, wer eine Meldung prüft und wer die Meldung an ENISA einreicht, bevor die Frist von 24 Stunden abläuft. Die Norm verlangt den Nachweis eines Prozesses und benannter Personen.

Infrastruktur aktiv. Benannte Kontakte sind in zwei Feldern hinterlegt.

Verfolgung der Reaktionszeit von 48 Stunden
Eine Warnung erscheint, sobald eine Meldung länger als 48 Stunden unbestätigt bleibt.
Zuweisung eines Koordinators
Jedes Teammitglied kann einer Meldung zugewiesen werden, was den von der Norm verlangten Nachweis der benannten Zuständigkeit erzeugt.
SRP-fertiges Meldepaket nach Artikel 14
Frühwarnung nach 24 Stunden, ausführliche Meldung nach 72 Stunden und Abschlussbericht nach 14 Tagen, vorbefüllt aus der Meldung, der CVSS-Bewertung und der SBOM, vorbereitet für die manuelle Einreichung.

Ihre Aufgabe

Die Zuständigen für Triage und für die Einreichung bei ENISA dokumentieren.

03EN 40000-1-3 §4.3

Nachweispfad

Ein Hersteller braucht den Nachweis, dass jede Meldung bewertet und bewusst darüber entschieden wurde, ob die Meldefrist ausgelöst wurde. Aufzeichnungen sind nach CRA Artikel 14(8) mindestens zehn Jahre aufzubewahren. Der Nachweispfad ist das, was Behörden im Nachhinein prüfen.

Automatisch. Jede Handlung wird ab dem ersten Tag aufgezeichnet.

Unveränderliches Audit-Protokoll
Handelnde Person, Zeitstempel, IP-Adresse, Land und Art der Handlung, nur anfügend und ohne Änderungsmöglichkeit.
Kommunikationsprotokoll je Meldung
Jeder Austausch mit Meldenden, vorgelagerten Betreuern oder ENISA wird mit Datum, Empfänger, Kanal und Zusammenfassung aufgezeichnet.
ENISA-Export und CSAF-Hinweis
Die Nutzlast nach Artikel 14 als JSON oder ein maschinenlesbarer CSAF 2.0 Hinweis, direkt aus der Meldungsansicht.

Ihre Aufgabe

Prüfen, dass die Aufbewahrungsregel zehn Jahre abdeckt.

Quellen

Zuletzt aktualisiert am 26. August 2026

In wenigen Minuten einsatzbereit

Der Meldeeingang für Schwachstellen ist dauerhaft kostenlos. Meldekanal, Richtlinie und Audit-Protokoll sind ab der Anmeldung aktiv.

Kostenlos starten