Anbieter für 24-Stunden-Vulnerabilitätsberichterstattung: Marktüberblick & Preise (2026)

• Pflicht zur 24h-Berichterstattung gilt ab 11.09.2026 für Hersteller digitaler Produkte (CRA Art. 14)
• REP27, kadano und Euverify bieten entsprechende Vertretung an
• Preise: REP27 ab EUR 490/Jahr, kadano EUR 999/Jahr, Euverify GBP 590/Jahr
• Leistungen variieren: Mandat, Meldekanal, keine technische Prüfung oder SBOM-Erstellung
• Nicht erforderlich für Importeure, Distributoren oder reine Marktplatzhändler

Aktualisiert 25 Oktober 2026 · 4 Quellen geprüft

Anbieter im Vergleich

Preise wie am 25 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was verlangt das Gesetz? (CRA Art. 14, Art. 18)

Die EU Cyber Resilience Act (CRA) verpflichtet ab dem 11. September 2026 Hersteller von Produkten mit digitalen Elementen, aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden nach Kenntnis zu melden (Artikel 14). Die Meldung erfolgt über das zentrale ENISA-Portal und richtet sich an das zuständige CSIRT des Mitgliedstaats. Die Fristen sind strikt: 24 Stunden für die Frühwarnung, 72 Stunden für die erste vollständige Meldung und 14 Tage für den Abschlussbericht. Die Uhr läuft in Echtzeit – auch nachts, am Wochenende und an Feiertagen.

Hersteller außerhalb der EU müssen nach Artikel 18 CRA einen bevollmächtigten Vertreter in der EU benennen. Dieser Vertreter fungiert als Meldekanal und Ansprechpartner für Behörden. Ohne einen solchen Vertreter ist die Meldung nicht rechtskonform möglich. Importeure, Distributoren und Marktplatzhändler (z.B. auf Amazon, Etsy, eBay), die keine Produkte unter eigenem Namen in Verkehr bringen, sind von der Pflicht ausgenommen. Für Open-Source-Projekte mit nicht-kommerzieller Ausrichtung gilt ein reduziertes Melde-Regime, aber eine Meldepflicht bleibt bestehen.

• Artikel 14 CRA: 24h-Frühwarnung, 72h-Vollmeldung, 14 Tage Abschlussbericht
• Artikel 18 CRA: Bevollmächtigter Vertreter für Hersteller ohne EU-Niederlassung

Die genaue Definition, was eine meldepflichtige Schwachstelle ist, ist entscheidend: Nur aktiv ausgenutzte Schwachstellen oder schwerwiegende Vorfälle, die die Sicherheit des Produkts betreffen, lösen die Pflicht aus. Unentdeckte oder nicht ausgenutzte Schwachstellen sind nicht meldepflichtig. Die Verantwortung zur Einhaltung der Fristen liegt beim Hersteller – Verzögerungen oder Fehlmeldungen können zu empfindlichen Sanktionen führen.

Leistungen im Vergleich: Was ist enthalten, was nicht?

Die Anbieter unterscheiden sich deutlich in der Transparenz und im Umfang der angebotenen Leistungen. REP27 veröffentlicht als einziger Anbieter alle Preise und listet klar auf, was im Mandat enthalten ist und was nicht. Das Mandat umfasst die rechtliche Vertretung nach Artikel 18 CRA, einen 24-Stunden-Desk in Europa, Annahme und Weiterleitung von Meldungen an die zuständigen Behörden sowie eine öffentliche Verifizierung des Mandats. REP27 übernimmt ausdrücklich keine technischen Prüfungen, keine SBOM-Erstellung, keine Konformitätsbewertungen und kein Testing – diese Aufgaben liegen beim Hersteller oder müssen separat beauftragt werden.

Bei kadano und Euverify sind die Preise veröffentlicht, aber Details zu den enthaltenen Leistungen, möglichen Zusatzkosten oder Ausschlüssen sind "On request". Es ist daher ratsam, vor Vertragsabschluss schriftlich nachzufragen, welche Leistungen konkret abgedeckt sind und ob Zusatzgebühren für bestimmte Vorgänge (z.B. pro Meldung, pro Sprache, für außerordentliche Anfragen) anfallen.

Wichtig: Die eigentliche technische Aufarbeitung, das Erstellen von SBOMs (Software Bill of Materials) und die Durchführung von Sicherheitsprüfungen sind grundsätzlich nicht im Preis für die Vertretung enthalten. Wer diese Leistungen benötigt, muss sie separat bei spezialisierten Dienstleistern beauftragen.

Entscheidungsmatrix: Wer braucht was?

Ob Sie einen CRA-Vertreter und die 24h-Berichterstattung benötigen, hängt von Ihrer Rolle in der Lieferkette, Ihrem Sitz und Ihrer Vertriebsstruktur ab. Die folgende Matrix hilft bei der schnellen Einordnung:

Praktische Beispiele: Ein US-Softwareanbieter, der SaaS-Lösungen an EU-Kunden verkauft, benötigt einen Vertreter und muss die 24h-Meldung einrichten. Ein chinesischer IoT-Hersteller, der eigene Produkte unter eigenem Namen in die EU verkauft, ist ebenfalls verpflichtet. Ein britischer Online-Shop, der nur als Händler auftritt und keine Eigenmarke nutzt, benötigt keinen Vertreter und keine 24h-Berichterstattung.

Checkliste für Käufer: So gehen Sie vor

1. Rolle prüfen: Sind Sie Hersteller eines Produkts mit digitalen Elementen, das in der EU vertrieben wird?
2. Sitz feststellen: Liegt Ihr Unternehmenssitz außerhalb der EU?
3. Anbieter vergleichen: Wählen Sie einen Anbieter mit veröffentlichtem Preis und klar definiertem Mandat. Prüfen Sie, ob der Preis alle Leistungen abdeckt oder Zusatzkosten möglich sind.
4. Leistungen und Ausschlüsse schriftlich bestätigen lassen: Lassen Sie sich vor Vertragsabschluss schriftlich bestätigen, was im Mandat enthalten ist und was nicht.
5. Interne Prozesse vorbereiten: Legen Sie fest, wer im Unternehmen für die 24h-Meldung zuständig ist. Erstellen Sie ein Runbook mit klaren Zuständigkeiten und Meldevorlagen.
6. Vertreterdaten hinterlegen: Tragen Sie den Vertreter und dessen Kontaktdaten in Ihre Compliance-Dokumentation ein und informieren Sie Ihr Team.
7. Meldeprozess testen: Führen Sie vor dem Stichtag eine Simulation der 24h-Meldung durch, um Schwachstellen im Ablauf zu erkennen.
8. Regelmäßige Überprüfung: Überprüfen Sie jährlich, ob sich an Ihrer Vertriebsstruktur oder Produktpalette Änderungen ergeben haben, die Auswirkungen auf die Meldepflicht haben könnten.

Mit dieser Checkliste vermeiden Sie typische Fehler und stellen sicher, dass Sie zum Stichtag compliant sind.

Was Anbieter oft nicht sagen (Ausschlüsse, Fristen, Gebühren)

Viele Anbieter kommunizieren nicht offen, welche Leistungen im Mandat tatsächlich enthalten sind und welche nicht. REP27 listet ausdrücklich auf, dass technische Prüfungen, Konformitätsbewertung, SBOM-Erstellung und Testing nicht Teil des Mandats sind. Auch Zusatzleistungen wie die Erstellung von Vorlagen, die Unterstützung bei der technischen Analyse oder die Kommunikation mit Endkunden sind ausgeschlossen.

• Der Preis bei REP27 ist pauschal und enthält keine versteckten Gebühren. Der Erneuerungspreis ist vorab festgelegt und ändert sich nicht ohne Ankündigung.
• Bei kadano und Euverify liegen keine Angaben zu Zusatzkosten, Kündigungsfristen oder Haftungsgrenzen vor. Es empfiehlt sich, explizit nach diesen Punkten zu fragen.
• Die eigentliche Verantwortung für die Einhaltung der Meldefristen und die Qualität der Meldung bleibt immer beim Hersteller. Ein Vertreter kann die Meldung nur entgegennehmen und weiterleiten, nicht aber die technische Bewertung übernehmen.
• Die Frist zur Mandatserteilung ist bei REP27 mit 24 Stunden angegeben. Bei anderen Anbietern ist die Bearbeitungsdauer "On request".

Ein häufiger Irrtum: Das Mandat deckt nicht die gesamte CRA-Compliance ab. Die kostenintensiven und aufwändigen Teile (z.B. Konformitätsbewertung, technische Dokumentation, SBOM) müssen separat organisiert werden. Wer hier nicht vorbereitet ist, riskiert Verzögerungen und Bußgelder.

Drei Szenarien aus der Praxis: Wer muss was tun?

• US-SaaS-Anbieter: Ein Unternehmen mit Sitz in den USA bietet eine Cloud-Software für europäische Unternehmen an. Da es sich um einen Hersteller digitaler Produkte handelt, der in der EU vertreibt, muss ein CRA-Vertreter bestellt werden. Die 24h-Meldung läuft über diesen Vertreter, der im Mandat klar benannt ist. Der Anbieter muss intern Verantwortliche für die Meldung bestimmen und Vorlagen vorbereiten.
• Chinesischer Amazon-Seller: Ein Unternehmen aus China verkauft IoT-Geräte unter eigenem Markennamen direkt an Endkunden in der EU. Auch hier greift die Pflicht: Ohne EU-Sitz ist ein Vertreter nach Artikel 18 CRA erforderlich. Die Meldung erfolgt über diesen Vertreter. Ist das Unternehmen nur Händler und verkauft nicht unter eigenem Namen, entfällt die Pflicht.
• UK-Online-Shop: Ein britischer Shop verkauft als Händler Produkte von Drittanbietern nach Europa, aber nicht unter eigener Marke. In diesem Fall besteht keine Pflicht zur 24h-Berichterstattung oder zur Bestellung eines CRA-Vertreters, da der Shop nicht als Hersteller gilt. Die Verantwortung liegt beim eigentlichen Hersteller.

Diese Szenarien zeigen, wie entscheidend die genaue Einordnung der eigenen Rolle ist. Fehler in der Bewertung führen zu unnötigen Kosten oder Compliance-Lücken.