Einheitliche Meldeplattform

Die einheitliche Meldeplattform ist der Weg, über den Hersteller ihre Meldungen nach dem Cyber Resilience Act (CRA) abgeben. Artikel 16 beauftragt die ENISA damit, sie einzurichten und ihren laufenden Betrieb zu steuern und aufrechtzuerhalten. Der Zweck steht im selben Absatz: Die Meldepflichten der Hersteller sollen dadurch einfacher werden.

Technisch ist sie kein einzelnes Portal, sondern ein Verbund. Die Architektur muss es den Mitgliedstaaten und der ENISA erlauben, jeweils eigene Endpunkte für die elektronische Meldung zu betreiben. Ein Hersteller spricht also einen nationalen Endpunkt an, und die Verteilung dahinter besorgt die Plattform.

Eine Meldung, zwei Empfänger

Artikel 14 verlangt, dass jede Aktiv ausgenutzte Schwachstelle und jeder schwerwiegende Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit gleichzeitig dem als Koordinator benannten CSIRT und der ENISA gemeldet werden. Die Plattform ist das Mittel dazu. Der Hersteller reicht auf jeder Stufe der Meldepflichten genau eine Meldung ein, und die ENISA hat parallel Zugang dazu.

Das gilt für alle drei Stufen gleichermaßen: für die Frühwarnung binnen 24 Stunden, für die Meldung binnen 72 Stunden und für den Abschlussbericht.

Welcher Endpunkt der richtige ist

Artikel 14 Absatz 7 legt das fest, und die Antwort hängt an der Hauptniederlassung. Gemeldet wird über den Endpunkt des CSIRT, das in dem Mitgliedstaat als Koordinator benannt ist, in dem der Hersteller seine Hauptniederlassung in der Union hat. Als Hauptniederlassung gilt der Mitgliedstaat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden. Lässt sich ein solcher Mitgliedstaat nicht bestimmen, gilt der Mitgliedstaat, in dem der Hersteller die Niederlassung mit der höchsten Beschäftigtenzahl in der Union hat.

Hersteller ohne Hauptniederlassung in der Union arbeiten eine feste Reihenfolge ab:

• der Mitgliedstaat des Bevollmächtigten, der für die meisten Produkte des Herstellers handelt,
• sonst der des Einführers, der die meisten dieser Produkte in Verkehr bringt,
• sonst der des Händlers, der die meisten davon auf dem Markt bereitstellt,
• sonst der Mitgliedstaat mit den meisten Nutzern.

Nur im letzten Fall erlaubt die Verordnung ausdrücklich, für spätere Meldungen bei demselben CSIRT zu bleiben. Diese Prüfung gehört vor den Ernstfall, denn im Ernstfall kostet sie Stunden aus der 24-Stunden-Frist.

Was nach dem Absenden geschieht

Das CSIRT, bei dem die Meldung zuerst eingeht, leitet sie unverzüglich über die Plattform an die als Koordinatoren benannten CSIRTs der Mitgliedstaaten weiter, in denen das Produkt nach Angabe des Herstellers bereitgestellt wurde. Deshalb verlangt schon die Frühwarnung nach Artikel 14 Absatz 2 Buchstabe a die Angabe der Mitgliedstaaten, in deren Hoheitsgebiet das Produkt bereitgestellt wurde; bei schwerwiegenden Sicherheitsvorfällen fordert Artikel 14 Absatz 4 Buchstabe a dieselbe Angabe gegebenenfalls.

Diese CSIRTs stellen anschließend der Marktüberwachungsbehörde ihres Mitgliedstaats die Informationen zur Verfügung, die sie für ihre Aufgaben nach dem CRA benötigen. Eine Meldung bleibt also nicht im Kreis der Sicherheitsbehörden. Steht eine Sicherheitsaktualisierung oder eine andere Korrektur- oder Risikominderungsmaßnahme zur Verfügung, nimmt die ENISA die gemeldete öffentlich bekannte Schwachstelle nach Artikel 17 Absatz 5 im Einvernehmen mit dem Hersteller in die Europäische Schwachstellendatenbank auf.

Wann die Weiterleitung aufgeschoben wird

Die sofortige Verteilung gilt nicht ausnahmslos. Nach Artikel 16 Absatz 2 kann die Verbreitung unter außergewöhnlichen Umständen und insbesondere auf Antrag des Herstellers aus berechtigten Gründen der Cybersicherheit aufgeschoben werden, und zwar so lange, wie es unbedingt erforderlich ist. Hält ein CSIRT eine Meldung zurück, muss es die ENISA unverzüglich über die Entscheidung, deren Begründung und den geplanten Zeitpunkt der Verbreitung unterrichten. Läuft ein Verfahren der koordinierten Offenlegung von Schwachstellen nach Artikel 12 Absatz 1 der NIS-2-Richtlinie, erlaubt Artikel 16 Absatz 6 dem zuerst empfangenden CSIRT den Aufschub bis zur Zustimmung der beteiligten Parteien. Welche Cybersicherheitsgründe dafür taugen, muss die Kommission nach Artikel 14 Absatz 9 bis zum 11. Dezember 2025 in einem delegierten Rechtsakt festlegen.

Für einen eng umgrenzten Ausnahmefall sieht Artikel 16 Absatz 2 sogar vor, dass zunächst nur ein Auszug bei der ENISA ankommt: die Tatsache der Meldung, allgemeine Angaben zum Produkt, die allgemeine Art der Ausnutzung und der Hinweis, dass Sicherheitsgründe geltend gemacht wurden. Dieser Auszug gilt so lange, bis die vollständige Meldung an die betreffenden CSIRTs und die ENISA weitergeleitet wird. Sieht die ENISA darin ein Systemrisiko für die Sicherheit des Binnenmarkts, empfiehlt sie dem empfangenden CSIRT, die vollständige Meldung weiterzuleiten.

Die Spezifikationen für Einrichtung, Pflege und sicheren Betrieb der Plattform stellt die ENISA nach Artikel 16 Absatz 5 in Zusammenarbeit mit dem CSIRTs-Netzwerk bereit. Sie müssen unter anderem sicherstellen, dass Informationen über eine gemeldete Schwachstelle, für die noch keine Korrektur- oder Risikominderungsmaßnahme verfügbar ist, nur nach strengen Sicherheitsprotokollen und nach dem Grundsatz „Kenntnis nur, wenn nötig“ weitergegeben werden.

Auch für freiwillige Meldungen

Artikel 16 nennt als Zweck der Plattform neben den Pflichtmeldungen ausdrücklich die freiwilligen Meldungen nach Artikel 15. Wer eine Schwachstelle, eine Cyberbedrohung, einen Sicherheitsvorfall oder einen Beinahe-Vorfall freiwillig melden will, kann diesen Weg also ebenfalls nutzen. Artikel 15 selbst schreibt ihn nicht vor, sondern spricht von einer Meldung an ein als Koordinator benanntes CSIRT oder an die ENISA. Pflichtmeldungen darf das CSIRT vorrangig bearbeiten.

Ab wann sie gebraucht wird

Artikel 14 gilt ab dem 11. September 2026, während die Verordnung allgemein erst ab dem 11. Dezember 2027 gilt; Kapitel IV über die Notifizierung von Konformitätsbewertungsstellen (Artikel 35 bis 51) gilt bereits ab dem 11. Juni 2026. Die Plattform muss also mehr als ein Jahr vor dem allgemeinen Geltungsbeginn benutzbar sein. Bis zum 11. September 2028 bewertet die Kommission ihre Wirksamkeit nach Artikel 70 Absatz 2 in einem Bericht an Parlament und Rat.

Zwei Punkte nehmen der Sache etwas von ihrer Schärfe. Die als Koordinatoren benannten CSIRTs bieten nach Artikel 17 Absatz 6 Helpdesk-Unterstützung zu den Meldepflichten des Artikels 14 an, und zwar für Hersteller allgemein und besonders für solche, die Kleinstunternehmen oder kleine und mittlere Unternehmen sind. Und die Meldung als solche begründet nach Artikel 17 Absatz 4 keine höhere Haftung der meldenden Person.