Wie melde ich Schwachstellen innerhalb von 24 Stunden nach dem Cyber Resilience Act?

• CRA Artikel 14: 24-Stunden-Meldung von ausgenutzten Schwachstellen/ernsten Vorfällen.
• Meldung erfolgt über die ENISA-Plattform an das koordinierende CSIRT.
• Nicht-EU-Hersteller müssen einen bevollmächtigten Vertreter benennen.
• REP27 — Europe Services, SE: €490/Jahr Mandat (Preis verifiziert).
• Versteckte Kosten: interne Entwicklung, Supportzeitraum, Konformitätsbewertung.
• Anbieter unterscheiden sich in veröffentlichten Preisen, Leistungen und Transparenz.

Aktualisiert 20 Oktober 2026 · 12 Quellen geprüft

Anbieter im Vergleich

Preise wie am 20 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was der Cyber Resilience Act verlangt (mit Artikelnummern)

Der Cyber Resilience Act (CRA) ist eine umfassende Verordnung, die für alle Produkte mit digitalen Elementen gilt, die auf dem EU-Markt in Verkehr gebracht werden, unabhängig davon, ob es sich um Hardware oder Software handelt (Artikel 1, Quelle). Ziel ist es, sicherzustellen, dass Produkte mit Cybersicherheit als integralen Bestandteil ihres Lebenszyklus entworfen, entwickelt und gewartet werden. Das Gesetz trat am 10. Dezember 2024 in Kraft (Artikel 71(1)), aber die meisten Verpflichtungen, einschließlich der Meldung, werden ab dem 11. September 2026 für Artikel 14 bindend und vollständig ab dem 11. Dezember 2027 (Artikel 71(2)).

Artikel 14 ist zentral für die Vorfallreaktion: Hersteller müssen jede aktiv ausgenutzte Schwachstelle oder schweren Vorfall, der die Produktsicherheit betrifft, innerhalb von 24 Stunden nach Bekanntwerden melden. Dies erfolgt über die ENISA-Plattform an das koordinierende CSIRT. Die Frist beginnt mit dem Zeitpunkt des Bekanntwerdens, nicht nach Untersuchung oder Bestätigung. Eine vollständige Meldung ist dann innerhalb von 72 Stunden fällig, ein Abschlussbericht innerhalb von 14 Tagen. Die Meldefrist umfasst Wochenenden und Feiertage – es gibt keine Verlängerungen oder Pausen.

Artikel 18 verlangt von Herstellern außerhalb der EU, einen bevollmächtigten Vertreter mit Sitz in der EU zu benennen. Dieser Vertreter fungiert als offizieller Meldeweg und Ansprechpartner für Behörden. Ohne diesen wird standardmäßig der Importeur oder Händler verantwortlich, was kommerzielle und Compliance-Risiken birgt.

Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen nur dann dem CRA, wenn sie nach diesem Datum wesentlich verändert werden (Artikel 69(2)). Verstöße können mit Bußgeldern bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden (Quelle).

• Artikel 14: 24-Stunden-Meldung von ausgenutzten Schwachstellen/ernsten Vorfällen
• Artikel 18: Bevollmächtigter Vertreter für Hersteller außerhalb der EU
• Artikel 69(2): Regelungen für Altprodukte

Wie wähle ich einen CRA-Bevollmächtigten Vertreter aus?

Die Wahl des richtigen CRA-Bevollmächtigten Vertreters ist für Hersteller außerhalb der EU entscheidend. Der Vertreter ist Ihr offizieller Kanal für Schwachstellenmeldungen und regulatorische Kontakte in der EU. Hier die wichtigsten Kriterien:

• Preistransparenz: Nur wenige Anbieter veröffentlichen verifizierte Preise. REP27 — Europe Services, SE bietet ein klares Mandat für €490/Jahr (Verlängerung €440), während kadano €999/Jahr und Euverify £590/Jahr listet. Andere geben Preise nur auf Anfrage.
• Leistungsumfang: Prüfen Sie, was im Preis enthalten ist. Das Mandat nach Artikel 18 ist das Minimum, einige Anbieter bieten zusätzliche Services wie Monitoring, Beweisspeicherung oder Selbstbewertungsdokumentation (siehe CRAguard, ProvenVEX, SECURiMENT).
• Ausnahmen: Kein Anbieter inkludiert Konformitätsbewertung, Sicherheitstests oder SBOM-Erstellung im Mandatsentgelt. Diese sind separate Kosten für Engineering oder benannte Stellen.
• Zertifikat und Verifizierung: Achten Sie auf Anbieter mit verifizierbarem Zertifikat (REP27 bietet QR-Code und öffentliche Verifizierungsseite).
• Vertragsverlängerung: Lassen Sie sich die Verlängerungspreise schriftlich bestätigen, bevor Sie die erste Rechnung zahlen. Stille oder unklare Verlängerungen sind ein häufiges Problem.
• Reaktionsprozess: Erkundigen Sie sich, wie Anfragen von Behörden bearbeitet werden, in welchen Sprachen und zu welchen Zeiten. Eine 24/7 besetzte Meldestelle ist für die Einhaltung der 24-Stunden-Frist unerlässlich.

Nachfolgend ein Vergleich der enthaltenen und ausgeschlossenen Leistungen je Anbieter, basierend auf veröffentlichten Informationen:

Fordern Sie immer einen schriftlichen Vertrag an, der alle Leistungen, Ausnahmen und Verlängerungsbedingungen auflistet.

Was der Preis wirklich beinhaltet

Das Verständnis, was im veröffentlichten Preis enthalten ist und was nicht, ist für Budgetierung und Compliance-Planung entscheidend. Die Mandatsgebühr nach Artikel 18 deckt in der Regel nur die rechtliche Bestellung und den Betrieb einer Meldestelle in der EU ab. Konkret bedeutet das:

• Mandat und Meldestelle: Der Vertreter ist befugt, als offizieller Kontakt für Schwachstellenmeldungen zu agieren. Bei REP27 umfasst dies eine 24/7 besetzte Meldestelle, CSIRT/ENISA-Kanalmanagement und ein verifizierbares Zertifikat mit QR-Code. Kadano und Euverify bieten ähnliche Mandate, spezifizieren aber keine weiteren Features öffentlich.
• Zusatzleistungen: Einige Anbieter (CRAguard, ProvenVEX, SECURiMENT) bieten zusätzliche Services wie Überwachung von Abhängigkeiten, Beweisspeicherung oder Incident-Response-Workflows. Diese sind jedoch nicht öffentlich bepreist und können erhebliche Zusatzkosten verursachen.
• Was nicht enthalten ist: Kein Anbieter in diesem Vergleich inkludiert Konformitätsbewertung, Sicherheitstests oder SBOM-Erstellung. Diese sind separate, oft erhebliche Kosten, die von benannten Stellen oder Ihrem internen Engineering getragen werden.
• Verlängerungspreise: Nur REP27 veröffentlicht einen Verlängerungspreis (€440/Jahr), der unter dem Erstjahrespreis liegt. Kadano und Euverify nennen keine Verlängerungsbedingungen öffentlich.

Vergleichen Sie Anbieter immer mit detaillierter Aufschlüsselung der enthaltenen Leistungen und möglichen Zusatzkosten. Einige bieten auch gebündelte Mandate für GDPR Artikel 27 oder NIS2 an (REP27: €690/Jahr für CRA+GDPR, €990/Jahr für CRA+GDPR+NIS2).

Zusammenfassungstabelle:

Versteckte Kosten und Ausnahmen

Obwohl die Mandatsgebühr oft der kleinste Posten bei der CRA-Compliance ist, können versteckte Kosten und Ausnahmen erheblich sein:

• Interne Entwicklungszeit: Selbstbewertung, Dokumentation und Erstellung von SBOMs sind Pflicht, aber nicht im Mandat enthalten. Diese Aufgaben erfordern technische Ressourcen.
• Supportzeitraum: Der CRA verlangt mindestens fünf Jahre Sicherheitsupdates für die meisten Produkte. Planen Sie die laufende Wartung als Produktlinie, nicht als einmaliges Projekt.
• Konformitätsbewertung: Für wichtige Klasse-II- oder kritische Produkte ist eine Bewertung durch eine benannte Stelle erforderlich. Dies kann Tausende Euro kosten und Monate dauern. Kein Vertreter übernimmt diese Kosten.
• Vorfallserkennung: Der Vertreter überwacht Ihre Systeme nicht auf Schwachstellen. Ihr Sicherheitsteam ist für Erkennung und erste Bewertung verantwortlich.
• Gebühren pro Vorfall oder Anfrage: Während REP27 keine Extragebühren für Anfragen angibt, können andere Anbieter für Zusatzleistungen oder Vorfallmanagement Gebühren verlangen. Klären Sie dies immer schriftlich.
• Haftungsbeschränkungen: Anbieter beschränken ihre Haftung meist auf den Umfang des Mandats. Sie sind nicht verantwortlich für versäumte Meldungen aufgrund interner Fehler.
• Kündigungsfristen und Verlängerungsbedingungen: Stille oder unklare Verlängerungen können zu unerwarteten Kosten oder Deckungslücken führen. REP27 veröffentlicht Verlängerungspreise und -bedingungen; andere nicht.

Was Anbieter meist nicht sagen:

• Das Mandat umfasst keine Schwachstellenerkennung, Patchen oder Nutzerbenachrichtigung – diese bleiben Ihre Verantwortung.
• Anfragen von Behörden zur Dokumentation können verzögert werden, wenn Ihr Runbook unvollständig oder Ihr Team unvorbereitet ist.
• Ein Anbieterwechsel kann komplex sein, wenn Ihr Mandat nicht klar auf Artikel 18(3) beschränkt ist.

Fordern Sie immer eine Liste der Ausnahmen an und bestätigen Sie alle Bedingungen schriftlich vor Vertragsabschluss.

So funktioniert die Bestellung: Schritt für Schritt

Die Bestellung eines CRA-Bevollmächtigten Vertreters ist ein strukturierter Prozess. So funktioniert er praktisch, mit konkreten Schritten und Tipps:

1. Status bestimmen: Sind Sie Hersteller eines Produkts mit digitalen Elementen, das auf dem EU-Markt in Verkehr gebracht wird? Wenn ja, weiter. Wenn Sie nur Importeur oder Händler sind, prüfen Sie, ob Sie das Produkt unter eigenem Namen in Verkehr bringen.
2. Gründung prüfen: Wenn Sie keine juristische Person in der EU haben, müssen Sie einen bevollmächtigten Vertreter benennen. Haben Sie eine EU-Tochtergesellschaft als Hersteller, melden Sie direkt.
3. Anbieter auswählen: Vergleichen Sie Anbieter anhand veröffentlichter Preise, Leistungsumfang und Transparenz. REP27, kadano und Euverify veröffentlichen Preise; andere auf Anfrage.
4. Schriftliches Mandat unterschreiben: Der Anbieter (z. B. REP27) stellt ein unterschriebenes Bestellschreiben aus, meist mit eIDAS-Elektronischer Signatur und verifizierbarem Zertifikat. Bestätigen Sie, dass das Mandat auf Artikel 18(3) beschränkt ist.
5. Compliance-Dokumentation aktualisieren: Fügen Sie die Vertreterdaten in Ihre technischen Unterlagen, Runbook und alle vom CRA geforderten Produktdokumente ein.
6. Meldeprozess einrichten: Benennen Sie mindestens zwei Meldende mit Zugriff auf die ENISA-Meldeplattform. Bereiten Sie Vorwarn- und Meldungsvorlagen vor.
7. Auslöser und internen Prozess definieren: Dokumentieren Sie, was als Bekanntwerden einer ausgenutzten Schwachstelle oder eines schweren Vorfalls gilt. Legen Sie fest, wer dies melden darf und welche Belege nötig sind (z. B. beobachtete Ausnutzung, glaubwürdige Kundenmeldung).
8. Dokumentation: Bewahren Sie Zeitstempel von Bekanntwerden, Meldung und Updates auf. Dies ist Ihr Nachweis bei Fristfragen.
9. Laufende Bereitschaft: Schulen Sie Ihr Team, testen Sie den Meldeprozess und prüfen Sie Ihr Runbook regelmäßig.

Dieser Prozess stellt sicher, dass Sie die 24-Stunden-Meldepflicht einhalten und Compliance-Lücken vermeiden.

Risiken und Bußgelder

Die Risiken bei Nichteinhaltung des CRA sind erheblich, finanziell und operativ:

• Bußgelder: Bei Verstößen drohen Verwaltungsstrafen bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Dies gilt für versäumte Meldefristen, fehlende Vertreterbestellung oder unzureichende Vorfallreaktion (Quelle).
• Operative Risiken: Verzögerungen bei Meldungen können zu behördlichen Untersuchungen, Produktrückrufen oder Marktzugangsverboten führen. Beschaffung und Vertrieb können blockiert werden, wenn kein gültiger EU-Vertreter nachgewiesen wird.
• Reputationsschäden: Verspätete Benachrichtigung von Nutzern oder Behörden kann negative Presse und Vertrauensverlust verursachen.
• Interne Störungen: Ohne klaren Meldeprozess gehen wertvolle Stunden im Vorfall verloren, was Risiko und Kosten erhöht.

Beispiele für Fehlerquellen:

• Erste Stunden eines Vorfalls werden mit der Suche nach dem richtigen CSIRT oder Meldeweg vergeudet.
• Dokumentationsanfragen erreichen ein Büro in einer anderen Zeitzone, was Verzögerungen verursacht.
• Ein Händler wird standardmäßig als Meldeweg behandelt, was die Kontrolle über Vorfallmanagement erschwert.
• Stille Mandatsverlängerungen führen zu Deckungslücken.

Reduzieren Sie Risiken durch einen transparenten, reaktionsfähigen Vertreter und einen robusten internen Prozess.

Entscheidungsmatrix: Brauchen Sie einen CRA-Vertreter?

Nutzen Sie die folgende Matrix, um zu bestimmen, ob Sie einen CRA-Bevollmächtigten Vertreter benötigen, basierend auf Geschäftsmodell und Standort:

Prüfen Sie immer Ihren Status und Ihre Pflichten, bevor Sie einen Vertreter bestellen.

Checkliste: Schritte zur Einhaltung der 24-Stunden-Meldepflicht nach CRA

1. Ermitteln Sie, ob Ihr Produkt vom CRA abgedeckt ist (digitales Element, EU-Markt).
2. Bestätigen Sie, ob Sie der Hersteller sind (nicht nur Importeur/Händler).
3. Wenn außerhalb der EU, bestellen Sie einen CRA-Bevollmächtigten Vertreter und erhalten Sie ein unterschriebenes Mandat.
4. Dokumentieren Sie die Vertreterdaten in Ihren technischen Unterlagen und Compliance-Akten.
5. Richten Sie einen 24/7-Annahmekanal für Schwachstellenmeldungen ein (intern oder über Vertreter).
6. Nennen Sie mindestens zwei Meldende mit Zugriff auf die ENISA-Plattform.
7. Bereiten Sie Vorwarn- und Meldungsvorlagen vor.
8. Schulen Sie Mitarbeiter, was eine Meldung auslöst und wie innerhalb von 24 Stunden reagiert wird.
9. Definieren und dokumentieren Sie die erforderlichen Belege für das "Bekanntwerden" einer Schwachstelle oder eines Vorfalls.
10. Führen Sie alle relevanten Zeitstempel für Compliance-Nachweise und Audits.
11. Überprüfen und aktualisieren Sie regelmäßig Ihr Runbook und den Meldeprozess.

Diese Checkliste hilft, die häufigsten Compliance-Fehler zu vermeiden.

Realistische Szenarien: Welche Verpflichtung gilt?

• US-SaaS-Unternehmen, das an EU verkauft: Als Hersteller außerhalb der EU müssen Sie einen CRA-Bevollmächtigten Vertreter (z. B. REP27) bestellen, der als Meldeweg fungiert. Richten Sie eine 24/7-Annahmestelle ein und stellen Sie sicher, dass mindestens zwei Mitarbeiter Meldungen über die ENISA-Plattform abgeben können. Bereiten Sie Vorwarnvorlagen vor und dokumentieren Sie Ihren Prozess zur Feststellung aktiver Ausnutzung.
• Chinesischer Amazon-Verkäufer (Eigenmarke): Wenn Sie eigene digitale Produkte mit eigener Marke an EU-Kunden verkaufen, benötigen Sie einen CRA-Vertreter. Wenn Sie nur Drittmarken weiterverkaufen, nicht. Bestellen Sie einen Vertreter, aktualisieren Sie Ihre Compliance-Unterlagen und bereiten Sie die 24-Stunden-Meldung vor.
• UK-Online-Shop mit eigenem IoT-Gerät: Wenn Sie direkt an EU-Verbraucher verkaufen, sind Sie Hersteller und müssen einen CRA-Vertreter bestellen. Wenn Sie nur im UK verkaufen, gilt der CRA nicht. Wenn ein EU-Händler das Produkt unter eigenem Namen in Verkehr bringt, übernimmt dieser die Verantwortung.

In allen Fällen ist der einfachste konforme Weg, einen transparenten, fixpreisigen Vertreter zu bestellen, den Meldeprozess zu dokumentieren und Ihr Team vor Inkrafttreten des Gesetzes zu schulen.