Technische Befunde rechtzeitig bewerten und melden
Seit 11. September 2026 gelten die Meldepflichten nach Art. 14 CRA. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle unterscheiden. Eine bekannte Schwachstelle allein löst die Meldung wegen aktiver Ausnutzung noch nicht aus.
Meldefähigkeit an einem Fall prüfenZwei Meldeanlässe mit unterschiedlichen Abschlussfristen
Für beide Meldeanlässe ist unverzüglich, spätestens binnen 24 Stunden ab Kenntnis eine Frühwarnung und binnen 72 Stunden eine Meldung erforderlich. Beide Fristen laufen ab Kenntnis; die 72 Stunden beginnen nicht erst nach der Frühwarnung.
Bei aktiv ausgenutzten Schwachstellen folgt der Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist. Bei schwerwiegenden Sicherheitsvorfällen folgt er binnen eines Monats nach der 72-Stunden-Meldung. Meldungen werden über die CRA Single Reporting Platform an den zuständigen CSIRT-Koordinator und ENISA übermittelt. Zuständigkeit und Zugänge sind anhand der maßgeblichen Niederlassung zu klären.
Ein PSIRT braucht klare Entscheidungswege
Ein Product Security Incident Response Team bündelt Meldungseingang, technische Bewertung, Abhilfe und Kommunikation. Eine schlanke Struktur kann genügen, wenn Vertretung, Freigabe und Eskalation funktionieren. Lieferanten müssen Informationen so liefern, dass der Hersteller rechtzeitig entscheiden kann. Betroffene Nutzer sind entsprechend den CRA-Vorgaben zu informieren. Solvetronix übernimmt auch die regulatorische Bewertung von Meldeanlässen und Zuständigkeiten.
Was Solvetronix mit Ihnen erarbeitet
- Technische Triage, Produktbetroffenheit und dokumentierte Eskalationskriterien.
- Vorlagen für Befund, Maßnahmen und Zuarbeit zur Meldung.
- Eine Fallübung mit Herstellerverantwortlichen und Entwicklungspartnern.
Weiterführende Themen
Rechtsgrundlagen und Quellen
Allgemeine Information und technische Orientierung. Die konkrete Einordnung hängt von Produkt, Rolle und Einsatz ab. Stand 22. Oktober 2026.