Vergleich Anbieter Vulnerability Reporting Cyber Resilience Act (CRA)

• Das CRA-Vulnerability Reporting ist ab dem 11. September 2026 verpflichtend
• Nur einige Anbieter veröffentlichen Preise und enthaltene Details
• Die Vertretung umfasst die Übermittlung von Meldungen, nicht die technische Bewertung
• Vergleichen Sie Ausschlüsse, Verlängerungen und Verifizierungsprozesse
• Bußgelder für fehlendes Reporting können bis zu €15 Millionen oder 2,5% des Umsatzes betragen
• Das Mandat des Vertreters deckt keine Bewertung, SBOM oder technischen Support ab

Aktualisiert 21 Oktober 2026 · 12 Quellen geprüft

Anbieter im Vergleich

Preise wie am 21 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: Pflichten, Artikel und Fristen

Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, führt strenge Pflichten für diejenigen ein, die Produkte mit digitalen Elementen, sowohl Hardware als auch Software, auf den EU-Markt bringen, unabhängig vom Standort. Die Hauptpflichten sind:

• Ernennung eines autorisierten Vertreters (Art. 18): Wenn der Hersteller nicht in der EU ansässig ist, muss er schriftlich einen Vertreter in der Union benennen. Dieser Vertreter ist verantwortlich für die Übermittlung von Schwachstellen- und schwerwiegenden Vorfallmeldungen an die zuständigen Behörden (CSIRT, ENISA).
• Vulnerability Reporting (Art. 14): Ab dem 11. September 2026 muss jeder Hersteller innerhalb von 24 Stunden nach Kenntnisnahme einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls, der die Produktsicherheit beeinträchtigt, melden. Die Meldung erfolgt über die ENISA-Plattform und wird an das koordinierende CSIRT gerichtet.
• Vollständige Benachrichtigung und Abschlussbericht: Innerhalb von 72 Stunden nach der Erstmeldung muss eine detaillierte Benachrichtigung mit den ersten Korrekturmaßnahmen vorgelegt werden. Innerhalb von 14-30 Tagen muss ein Abschlussbericht mit Details zur Schwachstelle und der ergriffenen Lösung eingereicht werden.
• Anwendung auf alle digitalen Produkte: Die Pflicht gilt sowohl für neue als auch bereits auf dem Markt befindliche Produkte und umfasst den gesamten Lebenszyklus, einschließlich Updates und Support.
• Sanktionen: Die Nichteinhaltung kann zu Geldstrafen von bis zu €15 Millionen oder 2,5% des weltweiten Umsatzes führen, je nachdem, welcher Betrag höher ist.

Es ist wichtig, zwischen dem CRA-Reporting (Produktschwachstellen) und anderen Verpflichtungen wie GDPR (Verletzungen personenbezogener Daten) oder NIS2 (Dienstvorfälle) zu unterscheiden. Jedes Regime hat unterschiedliche Adressaten, Fristen und Plattformen.

Wie man den Anbieter auswählt: Praktische Kriterien und Risiken

Die Wahl des Anbieters für das CRA-Vulnerability Reporting sollte von praktischen und transparenten Kriterien geleitet werden. Hier sind die wichtigsten Punkte, die zu beachten sind:

• Veröffentlichter und transparenter Preis: Bevorzugen Sie Anbieter, die den Preis und die Verlängerungskosten klar angeben. Vermeiden Sie Angebote mit "Einführungspreisen" oder versteckten Verlängerungen.
• Was enthalten ist: Überprüfen Sie, ob der Service nur das Vertretermandat und die Übermittlung von Meldungen abdeckt oder ob er auch technischen Support, Dokumentation, SBOM oder erweiterte Workflows bietet. Die meisten Anbieter beschränken sich auf die rechtliche Vertretung.
• Verifizierbares Zertifikat: Ein Zertifikat mit QR-Code und öffentlicher Verifizierungsseite reduziert das Risiko von Anfechtungen während Audits oder Vorfällen.
• 24/7 aktiver Desk: Das Reporting muss jederzeit möglich sein, auch nachts, an Wochenenden und Feiertagen. Fragen Sie explizit, ob der Desk das ganze Jahr über aktiv ist.
• Sprache und Reaktionszeiten: Stellen Sie sicher, dass der Anbieter Anfragen auf Englisch und, falls erforderlich, in anderen EU-Sprachen bearbeiten kann. Übermittlungszeiten von mehr als 24 Stunden können die Konformität gefährden.
• Ausschlüsse und Grenzen: Kein Vertreter deckt technische Bewertungen, Sicherheitstests, SBOM-Generierung oder Ingenieursupport ab: Diese bleiben in der Verantwortung des Herstellers oder spezialisierter Anbieter.

Bewerten Sie immer die Klarheit der Ausschlüsse: Ein Anbieter, der diese nicht explizit macht, hat möglicherweise den Umfang des Services nicht klar definiert.

Was der Preis wirklich beinhaltet: Vergleichstabelle und Analyse

Die meisten Anbieter bieten das Vertretermandat und die Übermittlung von Meldungen an, aber nur wenige decken zusätzliche technische Dienstleistungen ab. Hier ist eine Vergleichstabelle:

Der wesentliche Unterschied zwischen "klassischen" Anbietern (REP27, kadano, Euverify) und solchen, die breitere Dienstleistungen anbieten (Attestra AI, Seentrix, Illicium), besteht darin, dass erstere sich auf die gesetzlichen Mindestanforderungen beschränken, während letztere auch Sicherheits-Workflows, automatisierte SBOM oder Pentesting anbieten. Für die reine Konformität mit Art. 18 und 14 CRA reicht jedoch das Vertretermandat und die rechtzeitige Übermittlung der Meldungen aus.

Achtung: Der veröffentlichte Preis deckt nur das ab, was ausdrücklich angegeben ist. Zusätzliche technische Dienstleistungen werden oft separat berechnet und können erheblich teurer sein.

Versteckte Kosten, Ausschlüsse und was Anbieter nicht sagen

Viele Anbieter veröffentlichen den Verlängerungspreis nicht oder erheben zusätzliche Gebühren für Anfragen außerhalb der Geschäftszeiten, die Ausstellung zusätzlicher Zertifikate oder Unterstützung in anderen Sprachen als Englisch. Hier ist, worauf Sie achten sollten:

• Verlängerungen: Fragen Sie immer nach dem schriftlichen Verlängerungspreis, bevor Sie unterschreiben. REP27 gibt diesen klar an (€440), andere kommunizieren ihn nur auf Anfrage.
• Ausschlüsse: Kein Anbieter deckt Konformitätsbewertungen, Sicherheitstests, SBOM-Generierung oder Ingenieursupport ab. Diese Dienstleistungen sind separat und oft deutlich teurer als das Vertretermandat.
• Haftungsbeschränkungen: Anbieter übernehmen keine Verantwortung für technische Fehler, fehlende Meldungen durch den Kunden oder die Verwaltung der Schwachstellen selbst.
• Kündigungsfrist: Einige Anbieter könnten eine Vorankündigung für die Beendigung des Services oder den Wechsel des Vertreters verlangen. Überprüfen Sie immer die Vertragsbedingungen.
• Gebühren auf Anfrage: In Abwesenheit öffentlicher Informationen fragen Sie, ob Kosten für zusätzliche Anfragen, die Ausstellung neuer Zertifikate oder Notfallunterstützung vorgesehen sind.

Entscheidungstabelle:

Zusammenfassend ist die Klarheit über Ausschlüsse und versteckte Kosten entscheidend, um Überraschungen zu vermeiden und die volle Konformität zu gewährleisten.

Wie die Ernennung funktioniert: Schritt-für-Schritt-Anleitung und praktische Checkliste

Die Ernennung des CRA-Vertreters folgt einigen wichtigen Schritten. Hier ist eine detaillierte Anleitung:

1. Überprüfen Sie die Verpflichtung: Sind Sie Hersteller von digitalen Produkten (Hardware/Software), die in der EU verkauft werden, und haben keinen Sitz in der Union? Wenn ja, unterliegen Sie der Verpflichtung.
2. Wählen Sie den Anbieter: Vergleichen Sie Preise, Inklusivleistungen, Ausschlüsse und Verifizierungsprozesse. Bevorzugen Sie Anbieter mit 24/7-Desk und öffentlich verifizierbarem Zertifikat.
3. Unterzeichnen Sie das Mandat: Das Mandat muss schriftlich sein, von der juristischen Person des Anbieters unterzeichnet (z.B. Europe Services, SE für REP27) und auf die Verpflichtungen des Art. 18 beschränkt sein. Vermeiden Sie Mandate, die auch Art. 13 abdecken wollen.
4. Erhalten Sie das Zertifikat: Der Anbieter stellt ein Ernennungszertifikat aus, vorzugsweise mit QR-Code und Online-Verifizierungsseite.
5. Bereiten Sie das interne Runbook vor: Fügen Sie die Daten des Vertreters, das Eskalationsverfahren und die Kontakte für das Reporting in die interne Dokumentation ein.
6. Konfigurieren Sie den Reporting-Kanal: Bereiten Sie einen internen Kanal vor, um Schwachstellen- und Vorfallmeldungen zu sammeln, mit mindestens zwei Personen, die als Submitter auf der ENISA-Plattform benannt sind.
7. Schulen Sie das Team: Stellen Sie sicher, dass das Personal weiß, was und wann gemeldet werden muss, und dass die Verfahren in einer Simulation getestet wurden.

Praktische Checkliste:

1. Haben Sie die Produktklassen und deren Bestimmung in der EU identifiziert?
2. Haben Sie alle Verkaufs- und Vertriebskanäle kartiert?
3. Haben Sie einen Anbieter mit 24/7-Desk und transparentem Verlängerungspreis gewählt?
4. Haben Sie die Eskalations- und Reporting-Verfahren geschrieben?
5. Haben Sie mindestens zwei Submitter auf der ENISA-Plattform benannt?
6. Haben Sie den Meldefluss mit einer Simulation getestet?

Durch Befolgung dieser Schritte minimieren Sie das Risiko von Nichtkonformität und Sanktionen.

Risiken, Bußgelder und reale Szenarien: Was in der Praxis passieren kann

Die Nichtmeldung einer Schwachstelle innerhalb von 24 Stunden kann zu Sanktionen von bis zu €15 Millionen oder 2,5% des weltweiten Umsatzes führen, zusätzlich zu Reputationsschäden und Verkaufsverboten in der EU. Hier sind drei realistische Szenarien, um zu verdeutlichen, wie die Verpflichtungen angewendet werden:

• SaaS USA: Ein US-amerikanisches SaaS-Unternehmen, das Dienstleistungen für EU-Kunden anbietet, muss einen CRA-Vertreter benennen, einen 24/7-Reporting-Kanal aktivieren und jede ausgenutzte Schwachstelle melden. Der Vertreter übermittelt die Meldungen über ENISA und beantwortet Anfragen der Behörden.
• Amazon-Verkäufer China: Wenn der Verkäufer auch Hersteller des digitalen Produkts ist, muss er einen CRA-Vertreter benennen und die Reporting-Fristen einhalten. Wenn er nur Wiederverkäufer ist, liegt die Verpflichtung beim Hersteller. Der Reporting-Kanal muss ab dem 11. September 2026 bereit sein.
• UK Online-Shop: Ein britischer Online-Shop, der Geräte mit Firmware an EU-Kunden verkauft, muss einen CRA-Vertreter benennen. Wenn er nur nicht-digitale Dienstleistungen anbietet, unterliegt er nicht der Verpflichtung. Im Falle eines Vorfalls muss das Reporting innerhalb von 24 Stunden erfolgen, auch wenn der Sitz außerhalb der EU liegt.

In allen Fällen kann die fehlende Vorbereitung (Fehlen eines Runbooks, nicht getesteter Reporting-Kanal, nicht verifizierbarer Vertreter) die Reaktionszeit verlangsamen und die rechtlichen und wirtschaftlichen Folgen verschärfen.