Cyber Resilience Act 24-Stunden-Schwachstellenmeldung: Anbieter & Preise (2026)

• CRA Artikel 14 verlangt die 24-Stunden-Meldung aktiv ausgenutzter Schwachstellen an ENISA.
• Nicht-EU-Hersteller müssen einen in der EU ansässigen bevollmächtigten Vertreter für die Meldung benennen.
• REP27 — Europe Services, SE berechnet 490 €/Jahr für das Mandat nach Artikel 18.
• Wettbewerberpreise: kadano (999 €/Jahr), Euverify (£590/Jahr), weitere auf Anfrage.
• Rechtsberatung, SBOM-Erstellung und Konformitätsbewertung sind bei REP27 nicht enthalten.
• Nicht erforderlich für Importeure, Händler oder Altprodukte, die vor dem 11. September 2026 in Verkehr gebracht wurden.

Aktualisiert 17 Oktober 2026 · 8 Quellen geprüft

Anbieter im Vergleich

Preise wie am 17 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: CRA Artikel 14 & 18

Der Cyber Resilience Act (CRA) führt ein strenges Regime für Hersteller ein, die Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen. Artikel 1 definiert den Anwendungsbereich: Hardware und Software mit digitalen Elementen, einschließlich vernetzter Geräte, Firmware und Apps, sind erfasst. Artikel 10 legt wesentliche Anforderungen an Cybersicherheitsmaßnahmen über den gesamten Produktlebenszyklus fest, während Artikel 11 die Pflichten der Hersteller beschreibt, wie Risikobewertung, Umgang mit Schwachstellen und Konformitätsbewertung.

Artikel 14 ist zentral: Er verlangt von Herstellern, jede aktiv ausgenutzte Schwachstelle oder schwerwiegenden Vorfall, der die Produktsicherheit betrifft innerhalb von 24 Stunden nach Kenntnisnahme über die einheitliche Meldeplattform an ENISA zu melden. Die Meldepflicht wird durch glaubwürdige Hinweise auf Ausnutzung oder ein bedeutendes Sicherheitsereignis ausgelöst, nicht durch bloße Entdeckung einer Schwachstelle. Die 24-Stunden-Frist gilt als Kalenderstunden, inklusive Nächte, Wochenenden und Feiertage.

Für Hersteller mit Sitz außerhalb der EU verlangt Artikel 18 die Benennung eines bevollmächtigten Vertreters mit Sitz in der EU. Dieser Vertreter ist verantwortlich für die Abwicklung der 24-Stunden-Meldung und fungiert als offizieller Ansprechpartner für EU-Behörden. Importeure und Händler haben eigene Pflichten nach Artikel 12, die Hauptmeldepflicht liegt jedoch beim Hersteller oder dessen bevollmächtigtem Vertreter.

Produkte, die vor dem 11. September 2026 auf dem EU-Markt in Verkehr gebracht wurden, sind von der 24-Stunden-Meldepflicht ausgenommen, müssen aber andere CRA-Vorschriften erfüllen. Verstöße können mit Bußgeldern bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das Gesetz ist klar: Sind Sie ein Nicht-EU-Hersteller, der digitale Produkte nach diesem Datum in der EU verkauft, müssen Sie einen bevollmächtigten Vertreter benennen, der innerhalb von 24 Stunden auf qualifizierte Vorfälle reagieren kann.

Wie man einen CRA-Bevollmächtigten auswählt

Die Wahl des richtigen bevollmächtigten Vertreters ist entscheidend für Compliance und operative Effizienz. Prüfen Sie zunächst die Rechtspersönlichkeit des Anbieters, dessen EU-Sitz und Erfahrung. Zum Beispiel ist REP27 — Europe Services, SE in Prag, Tschechische Republik, ansässig und seit 2018 aktiv, mit Mandaten für Unternehmen in 24 Ländern.

Wichtige Auswahlkriterien sind:

• Transparente Preise: Achten Sie auf klare, veröffentlichte Preise und Verlängerungsbedingungen. REP27 veröffentlicht sowohl Erstjahres- als auch Verlängerungspreise. Einige Anbieter wie kadano und Euverify veröffentlichen Preise, andere nur auf Anfrage.
• Mandatsumfang: Stellen Sie sicher, dass das Mandat auf die Pflichten nach Artikel 18 beschränkt ist. Zu breite Mandate, die auch Artikel 13 abdecken, sind laut Artikel 18(2) unzulässig. REP27 beschränkt sich ausdrücklich auf Artikel 18.
• Verfügbarkeit: Die Meldestelle sollte rund um die Uhr besetzt sein, auch an Wochenenden und Feiertagen. REP27 garantiert durchgehende Erreichbarkeit, bei anderen Anbietern sollten Sie dies bestätigen.
• Zertifikatsprüfung: Ein verifizierbares Zertifikat (z. B. QR-Code und öffentliche Überprüfung bei REP27) bietet Nachweis der Bestellung und kann von Behörden oder Kunden geprüft werden.
• Ausnahmen: Klären Sie, was nicht enthalten ist, z. B. Rechtsberatung, SBOM-Erstellung oder technische Tests. REP27 listet alle Ausnahmen klar auf; viele Wettbewerber nicht.

Gebündelte Leistungen (z. B. technisches Scanning, SBOM-Erstellung) können nützlich sein, wenn interne Ressourcen fehlen, prüfen Sie jedoch versteckte Kosten, unklare Verlängerungspreise oder vage Leistungsbeschreibungen. Fordern Sie den Prozess schriftlich an, inklusive Bearbeitungszeiten, Sprachen und Erreichbarkeiten.

Stellen Sie abschließend sicher, dass das Mandat des Anbieters verifizierbar ist und dass die Weiterleitung von Behördenanfragen zügig und dokumentiert erfolgt. Dies ist nicht nur eine Compliance-Formalität – Verzögerungen oder Missverständnisse können rechtliche und kommerzielle Folgen haben.

Was der Preis wirklich beinhaltet: Anbieter-Vergleich

Es ist wichtig zu verstehen, was im veröffentlichten Preis enthalten ist, um Überraschungen zu vermeiden. Nachfolgend ein detaillierter Vergleich der Leistungen der einzelnen Anbieter basierend auf verfügbaren Daten:

Der Preis von REP27 (490 €/Jahr, 440 € Verlängerung) gilt nur für das Mandat nach Artikel 18 mit klaren Ausnahmen. Kadano und Euverify veröffentlichen Preise, machen aber keine Angaben zu Leistungen oder Ausnahmen. Anbieter wie ResilienceWP und Seentrix bieten zusätzliche technische Services (SBOM, Scanning, Dokumentation) an, Preise und Umfang nur auf Anfrage.

Fordern Sie immer eine detaillierte Leistungsbeschreibung und eine Bestätigung der Verlängerungspreise vor Vertragsabschluss an. Der teuerste Fehler ist die Annahme, technische Compliance oder Rechtsberatung sei inklusive, wenn dem nicht so ist.

Versteckte Kosten & Was Anbieter meist nicht sagen

Der Grundpreis ist wichtig, aber versteckte Kosten und Ausnahmen können Ihr Compliance-Budget und das operationelle Risiko erheblich beeinflussen. Folgendes wird oft nicht offen kommuniziert:

• Ausnahmen: REP27 ist explizit: keine Rechtsberatung, DSB-Dienste, technische Compliance-Bewertungen, SBOM-Erstellung oder Tests enthalten. Viele Wettbewerber veröffentlichen solche Ausnahmen nicht, fragen Sie immer nach. Technische Compliance (SBOM, Konformitätsbewertung, Engineering) ist nie im reinen Vertretermandat enthalten und muss separat budgetiert werden.
• Verlängerungspreise: Einige Anbieter bieten einen günstigen Erstjahrespreis, veröffentlichen aber keine Verlängerungspreise. REP27 macht beide transparent. Lassen Sie sich Verlängerungsbedingungen schriftlich geben, um unerwartete Erhöhungen zu vermeiden.
• Gebühren pro Anfrage: Manche Vertreter verlangen Zusatzgebühren für jede Behörde- oder Betroffenenanfrage oder für dringende Meldungen. REP27 nennt keine solchen Gebühren, das ist aber nicht überall Standard. Klären Sie dies vor Vertragsabschluss.
• Kündigungsfristen und Beendigung: Der Ablauf zur Mandatsbeendigung oder Anbieterwechsel wird selten detailliert beschrieben. Fragen Sie nach Fristen und etwaigen Gebühren.
• Haftungsbeschränkungen: Die meisten Vertreter begrenzen ihre Haftung für Fristversäumnisse oder fehlerhafte Meldungen. Diese Beschränkungen sind nicht immer öffentlich einsehbar.
• Gebündelte Leistungen: Anbieter mit technischen Services (z. B. SBOM, Scanning) können erhebliche Zusatzkosten verlangen oder langfristige Verträge fordern. Bestätigen Sie Umfang und Preise schriftlich.

Zusammengefasst umfasst die tatsächliche Compliance-Kosten nicht nur die Vertretergebühr, sondern auch interne Engineering-, technische Compliance- und 24/7-Incident-Response-Kosten. Fordern Sie vor Vertragsabschluss eine vollständige Aufschlüsselung und schriftliche Bestätigung aller Bedingungen an.

So funktioniert die Bestellung: Schritt für Schritt

Die Bestellung eines CRA-Bevollmächtigten erfordert sorgfältige Planung und Dokumentation. Hier eine praktische Schritt-für-Schritt-Anleitung basierend auf aktuellen Best Practices und gesetzlichen Anforderungen:

1. Geltungsbereich prüfen: Bestätigen Sie, dass Ihr Produkt ein digitales Element (Hardware/Software) ist, das nach dem 11. September 2026 auf dem EU-Markt in Verkehr gebracht wird. Dann gilt die 24-Stunden-Meldepflicht.
2. Anbieter auswählen: Vergleichen Sie Anbieter anhand veröffentlichter Preise, Umfang, Ausnahmen und Reputation. Fordern Sie alle Bedingungen und Verlängerungspreise schriftlich an.
3. Vertrag und Mandat: Schließen Sie ein schriftliches Mandat mit dem gewählten Vertreter ab. REP27 stellt innerhalb von 24 Stunden ein unterschriebenes Mandat nach Artikel 18 und ein verifizierbares Zertifikat aus. Stellen Sie sicher, dass die Rechtspersönlichkeit in der EU registriert und im Handelsregister eingetragen ist.
4. Dokumentation aktualisieren: Erfassen Sie die Vertreterdaten im Compliance-Runbook. Bereiten Sie einen klaren Meldeprozess vor, inklusive wer Vorfälle melden darf und wie Beweise dokumentiert werden.
5. Interne Vorbereitung: Benennen Sie mindestens zwei Mitarbeiter als Einreicher für die ENISA-Plattform, idealerweise in unterschiedlichen Zeitzonen. Erstellen Sie Vorlagen für Frühwarnungen und benennen Sie Verantwortliche für die 72-Stunden-Benachrichtigung und Nutzerkommunikation.
6. Vorfallreaktion: Bei Erkennung einer qualifizierenden Schwachstelle oder eines Vorfalls benachrichtigen Sie sofort den Vertreter. Dieser meldet die Frühwarnung innerhalb von 24 Stunden an ENISA/CSIRT und folgt mit der 72-Stunden-Benachrichtigung sowie dem Abschlussbericht.
7. Dokumentation: Führen Sie detaillierte Protokolle über Kenntnisnahme, Einreichungszeiten und Kommunikation. Dies ist wichtig, falls die Behörden Ihre Compliance prüfen.
8. Laufende Überprüfung: Überprüfen Sie regelmäßig Ihre Prozesse und aktualisieren Sie Kontaktinformationen, Vorlagen und Zuständigkeiten.

Dieser Prozess stellt sicher, dass Sie die strengen CRA-Fristen einhalten und Strafen vermeiden. Der Schlüssel ist Vorbereitung: Definieren Sie Auslöser, benennen Sie Rollen und proben Sie den Ablauf vor Inkrafttreten des Gesetzes.

Risiken, Bußgelder und Fristen

Der Cyber Resilience Act bringt erhebliche rechtliche und finanzielle Risiken bei Nicht-Einhaltung mit sich. Artikel 15 beschreibt Durchsetzungsverfahren und Sanktionen. Das größte Risiko ist das Versäumen der 24-Stunden-Meldefrist für aktiv ausgenutzte Schwachstellen oder schwerwiegende Vorfälle. Die Frist beginnt mit Kenntnisnahme, nicht mit Abschluss der Untersuchung. Verzögerungen können Bußgelder bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Wert höher ist.

Weitere Risiken sind:

• Marktzugang-Verzögerungen: Das Fehlen eines Vertreters oder eines verifizierbaren Zertifikats kann Produkteinführungen verzögern oder Beschaffungsprozesse behindern, besonders bei Unternehmenskunden.
• Durchsetzungsmaßnahmen: Behörden können Untersuchungen einleiten, Dokumente anfordern oder Korrekturmaßnahmen verlangen, wenn Meldepflichten nicht erfüllt werden.
• Reputationsschäden: Öffentliche Meldedefizite können Marke und Kundenvertrauen schädigen.
• Mehrfache Meldepflichten: Ein Vorfall kann Meldungen unter CRA, NIS2, DSGVO und GPSR auslösen, jeweils mit unterschiedlichen Fristen und Behörden. Ein Beispiel ist ein Ransomware-Angriff, der drei getrennte Meldungen erfordern kann.

Die Fristen sind strikt: Die 24-Stunden-Meldepflicht gilt ab dem 11. September 2026 für neue Produkte. Altprodukte, die vor diesem Datum in Verkehr gebracht wurden, sind von der 24-Stunden-Regel ausgenommen, müssen aber andere CRA-Vorgaben erfüllen. Die Unterstützungsfrist für Sicherheitsupdates – mindestens fünf Jahre – ist ein weiterer versteckter Kostenfaktor, der als Produktlinie geplant und budgetiert werden muss, nicht als einmaliges Projekt.

Zusammengefasst sind die Risiken bei Nicht-Compliance erheblich, und die Kosten für fehlende Vorbereitung übersteigen die Kosten für einen qualifizierten Vertreter bei Weitem.

Entscheidungsmatrix: Brauchen Sie einen CRA-Bevollmächtigten?

Nutzen Sie die folgende Matrix, um zu bestimmen, ob Sie einen CRA-Bevollmächtigten benötigen:

Diese Matrix deckt die meisten Szenarien ab. Im Zweifel konsultieren Sie Ihren Rechtsbeistand oder kontaktieren Sie einen Anbieter zur Klärung. Denken Sie daran: Die Pflicht liegt beim Hersteller oder dessen bevollmächtigtem Vertreter, nicht beim Importeur oder Händler, sofern dieser das Produkt nicht unter eigenem Namen in Verkehr bringt.

Checkliste: Schritte zur CRA 24-Stunden-Melde-Compliance

1. Produkte erfassen: Listen Sie alle digitalen Produkte auf, die in der EU verkauft werden, inklusive Markteinführungsdatum.
2. Interne Prozesse prüfen: Überprüfen Sie, wie Schwachstellen erkannt, eskaliert und dokumentiert werden.
3. Vertreter auswählen: Vergleichen Sie Anbieter, fordern Sie schriftliche Bestätigung aller Gebühren, Verlängerungspreise und Leistungsumfänge an.
4. Mandat unterschreiben: Erhalten Sie ein unterschriebenes Mandat nach Artikel 18 und ein verifizierbares Zertifikat vom gewählten Anbieter.
5. Dokumentation aktualisieren: Fügen Sie Vertreterdaten ins Runbook und Compliance-Dokumentation ein. Bereiten Sie Frühwarn- und Benachrichtigungsvorlagen vor.
6. Meldeverantwortliche benennen: Bestimmen Sie mindestens zwei Einreicher für die ENISA-Plattform, idealerweise in unterschiedlichen Zeitzonen.
7. Ablauf testen: Führen Sie eine Übung mit simuliertem Schwachstellenfall durch, damit alle Verantwortlichen ihre Aufgaben und Fristen kennen.
8. Team schulen: Schulen Sie Mitarbeiter, was die 24-Stunden-Frist auslöst und wie Vorfälle eskaliert werden.
9. Regulatorische Updates beobachten: Bleiben Sie informiert über Änderungen bei CRA-Anforderungen oder Meldeplattformen vor September 2026.
10. Regelmäßig überprüfen: Überarbeiten Sie Prozesse und Dokumentation jährlich oder nach größeren Vorfällen.

Mit dieser Checkliste sind Sie gut vorbereitet, um die strengen CRA-Meldepflichten einzuhalten und teure Strafen zu vermeiden.

Realistische Szenarien: Welcher Weg gilt?

• US-SaaS-Unternehmen verkauft an EU-Unternehmen: Das Unternehmen ist ein Nicht-EU-Hersteller, der digitale Produkte auf dem EU-Markt anbietet. Es muss einen bevollmächtigten Vertreter für Artikel 18 benennen (z. B. REP27, kadano, Euverify). Das interne Sicherheitsteam erkennt Schwachstellen und informiert den Vertreter, der die ENISA/CSIRT-Meldungen innerhalb von 24 Stunden abwickelt. Importeur oder Händler sind nicht beteiligt, die Pflicht ist direkt.
• Chinesischer Amazon-Verkäufer liefert IoT-Geräte an EU-Verbraucher: Ist der Verkäufer Hersteller und außerhalb der EU ansässig, muss er einen bevollmächtigten Vertreter benennen. Handelt Amazon als Importeur, kann sich die Meldepflicht auf Amazon verlagern. Der Verkäufer sollte mit der Plattform klären und ggf. Vertreter benennen sowie Produktdokumentation anpassen.
• Britischer Online-Shop verkauft eigene Routermarke in der EU: Als Nicht-EU-Hersteller muss das britische Unternehmen einen bevollmächtigten Vertreter für 24-Stunden-Meldungen benennen. Die Vertreterdaten müssen in der Compliance-Dokumentation stehen, interne Prozesse müssen schnelle Eskalation sicherstellen. Ist der Shop auch Importeur oder Händler unter eigenem Namen, können zusätzliche Pflichten entstehen.

Diese Szenarien zeigen die Bedeutung, Lieferketten zu erfassen und Zuständigkeiten zu klären. Der einfachste konforme Weg ist die Bestellung eines Vertreters, Dokumentation des Prozesses und Schulung des Teams für schnelle Reaktion.