Berichte & Fristen

Ab dem 11. Sep 2026 verlangt CRA Artikel 14 von Herstellern die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle über die Single Reporting Platform (SRP) der ENISA. Resilic verfolgt die Fristen, entwirft die Inhalte und erzwingt die menschliche Unterschrift — es reicht nie etwas für Sie ein.

Ereignis anlegen — die Uhr gehört Ihnen

Ein meldepflichtiges Ereignis wird von einem Menschen angelegt, nie automatisch erzeugt. Ein aktiv ausgenutzter Treffer aus der Korrelation liefert einen Kandidaten; Sie überführen ihn (vorbefüllt mit CVE und betroffenen Versionen) und bestätigen oder korrigieren den Kenntniszeitpunkt — den rechtlich tragenden Zeitstempel, an dem die Kaskade hängt. Schwerwiegende Vorfälle legen Sie manuell an.

Irrtümlich angelegt? Zurückziehen, nicht löschen

Ein Ereignis lässt sich nicht löschen — das Ereignis und sein Audit-Verlauf sind der Nachweis, dass Sie der Pflicht nachgekommen sind. Wurde ein Ereignis irrtümlich angelegt (die Schwachstelle wird doch nicht aktiv ausgenutzt, der Vorfall ist nicht schwerwiegend, das falsche Produkt war gemeint, es war ein Test), ziehen Sie es zurück: im Editor unter Ereignis zurückziehen, mit einem Pflichtgrund. Zurückziehen darf, wer eine Meldung unterzeichnen darf. Der Datensatz bleibt erhalten, der Audit-Verlauf erhält den Eintrag „Zurückgezogen” mit Person, Zeit und Grund; Fristen und Erinnerungen enden, das Ereignis zählt nicht mehr zur Meldebereitschaft und erscheint in der Liste unter der Ansicht Zurückgezogen. Es kann danach nichts mehr dafür unterzeichnet werden. Das betrifft nur den Eintrag in Resilic: Was Sie bereits auf der SRP eingereicht haben, klären Sie dort — Resilic macht keine Aussage darüber, was die Plattform zulässt.

Fristen — die genaue Semantik

• 24h-Frühwarnung — fällig 24 Stunden nach Kenntnis.
• 72h-Meldung — fällig 72 Stunden nach Kenntnis.
• Abschlussbericht — der Anker hängt vom Typ ab:
  • Aktiv ausgenutzte Schwachstelle: fällig 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist (Art. 14(2)(c)) — nicht 14 Tage ab Kenntnis. Sie erfassen das Maßnahmendatum; bis dahin läuft für diese Stufe keine Uhr, und sie kann nie überfällig sein.
  • Schwerwiegender Vorfall: fällig einen Kalendermonat nach Übermittlung der 72h-Meldung (Art. 14(4)(c)) — nicht einen Monat ab Kenntnis.

Die Stufenfristen sind unabhängig: Ein verpasstes 24h-Fenster beseitigt die 72h-Pflicht nicht, und eine spätere Stufe kann übermittelt werden, während eine frühere überfällig ist. Resilic verschickt Fristerinnerungen per E-Mail, wenn ein Termin näher rückt.

Der Berichtseditor

Jede Stufe hat ihren eigenen Entwurf mit den Feldern, die das Formular der SRP auf dieser Stufe abfragt (SRP-Feldglossar v1 vom 10. September 2026 — die Bezeichnungen im Editor folgen dem Portal):

• Frühwarnung: Zusammenfassung, die Mitgliedstaaten, in denen das Produkt betroffen ist (soweit zutreffend), und bei einem schwerwiegenden Sicherheitsvorfall, ob rechtswidrige oder böswillige Handlungen vermutet werden (ja / nein / unbekannt).
• Meldung: Produktname und Produktversion der SRP (ein Produkt je Meldung; der Freitext „betroffene Produkte“ bleibt für die Flottenbeschreibung), optional Komponentenname und EUVD-ID, die Zusammenfassung als allgemeine Informationen der SRP, grenzüberschreitende Auswirkungen und die Maßnahmen so getrennt, wie das Portal sie trennt — ergriffene Abhilfemaßnahmen und Abhilfemaßnahmen für Nutzer. Ein schwerwiegender Sicherheitsvorfall ergänzt Zeitpunkt des Vorfalls und erste Einschätzung. Bei einer aktiv ausgenutzten Schwachstelle kann die 72-h-Meldung einen Antrag auf besondere außergewöhnliche Umstände tragen (ein Antrag, die Weitergabe aus cybersicherheitsbezogenen Gründen zu verzögern, Delegierte Verordnung (EU) 2026/881) samt Begründung — das CSIRT entscheidet.
• Abschlussbericht: zusätzlich Beschreibung des Schweregrads und Beschreibung der Auswirkungen als zwei Texte, dann je Typ — Sicherheitsupdate-Details und (soweit verfügbar) Angaben zu böswilligen Akteuren bei einer Schwachstelle; Grundursache und laufende Abhilfe bei einem Vorfall.

Der Editor zeigt neben jedem Feld die Längengrenzen des Portals (Titel 255 Zeichen, Texte 4.000, Maßnahmen 2.000, böswilliger Akteur 100) und speichert kein Feld, das sie überschreitet — so lässt sich der Export ohne Kürzung in die SRP übernehmen.

Mit KI generieren befüllt einen Entwurf, fundiert auf dem, was Resilic bereits weiß — CVE, betroffene Produkte und Installationen, KEV-/CVSS-Daten. Generierte Inhalte sind als „KI-entworfen — Prüfung nötig” markiert; jede Bearbeitung hält den Entwurf im Status Entwurf.

Freigabe, Export, Audit-Trail

• Freigeben verlangt eine ausdrückliche Bestätigung („Ich habe geprüft und übernehme die Verantwortung …“), hält fest, wer wann unterschrieben hat, und schließt diese Stufe der Kaskade in Resilic ab. Es wird dabei nichts an eine Behörde übermittelt — die Einreichung auf der SRP nehmen Sie selbst vor.

• Nur ein freigegebener Bericht kann exportiert werden. Der Export ist ein selbstbeschreibendes Artefakt (Format aegis.article14.v1), dessen report-Block die Feldnamen des SRP-Glossars verwendet — Sie übertragen Feld für Feld: productName, productVersion, componentName, euvdId, generalInformation (die Zusammenfassung), memberStates, unlawfulOrMaliciousActsSuspected, incidentOccurredAtUtc, initialAssessment, correctiveMeasuresTaken, correctiveMeasuresForUsers, dateCorrectiveMeasureAvailable (aus der erfassten Maßnahme), severityDescription, impactDescription, maliciousActorInfo, securityUpdateDetails, rootCause, ongoingMitigation und, falls beantragt, particularExceptionalCircumstances. Leere Felder entfallen. Sie laden es herunter und reichen es selbst auf der SRP ein.

  Das ist kein Behelf, sondern der vorgesehene Weg. Die SRP ist seit dem 11. September 2026 unter portal.cra-srp.enisa.europa.eu in Betrieb, und die ENISA stellt keine Programmierschnittstelle bereit — im FAQ heißt es, dass „für die erste Version der SRP keine Programmierschnittstelle (API) bereitgestellt wird, Meldungen sind daher über die Oberfläche der Plattform einzureichen”. Ihre benannte Vertretung (Assigned Representative) meldet sich mit einem EU-Login-Konto mit Mehr-Faktor-Authentifizierung an, das Sie vorab anlegen können; die Registrierung auf der SRP selbst empfiehlt die ENISA erst, wenn Sie tatsächlich melden müssen, und eine noch laufende Prüfung durch das koordinierende CSIRT blockiert eine Einreichung nicht. Eine automatische Übermittlung aus einem Fremdsystem gibt es also für niemanden.

• Jeder Schritt — angelegt, generiert, bearbeitet, freigegeben — landet in einem nur anfügbaren Audit-Trail (Aktion, Person, Zeitstempel): der Nachweis, dass Sie die Pflicht erfüllt haben, und wer was unterschrieben hat.

Zusätzlich können Sie festhalten, wie betroffene Nutzer informiert wurden (Art. 14(8)) — über ein veröffentlichtes CSAF-Advisory oder einen beschriebenen Kanal. Für diesen Eintrag gibt es keine gesetzliche Frist, und Resilic erfindet nie eine; ein offenes Ereignis ohne den Eintrag zeigt eine ausstehende Aufgabe, nie „überfällig”.

Meldende Stelle und benannte Vertretung

Unter Einstellungen → Meldende Stelle hinterlegen Sie, wer auf Ihren Exporten als meldende Stelle (SRP „notifying entity”) erscheint: die Kontaktperson (Name, E-Mail, Telefon) und — für Hersteller ohne Sitz in der EU — den EU-Bevollmächtigten. Der Export trägt diese Angaben im Block notifyingEntity, zusammen mit dem Namen Ihrer Organisation.

Dazu kommt die benannte Vertretung auf der SRP (Assigned Representative): die Personen, die im Namen Ihres Unternehmens auf der ENISA-Plattform melden. Die SRP kennt eine primäre Vertretung, die den Hersteller auf der Plattform beansprucht und weitere Personen einlädt, und eine sekundäre. Beide melden sich mit einem eigenen EU-Login-Konto mit Mehr-Faktor-Authentifizierung an. Resilic hält zu beiden Name und E-Mail fest — mehr nicht: Resilic registriert niemanden bei der ENISA und prüft keine Zuordnung. Die Angaben erscheinen im Export unter notifyingEntity.assignedRepresentatives (primary, secondary; nicht hinterlegte entfallen) und auf der Bestätigungsseite einer eingereichten Meldung, damit klar ist, wer sie einreicht. Die benannte Vertretung ist nicht der Bevollmächtigte nach der CRA — das sind zwei verschiedene Rollen.

Entwurfssprache

KI-Berichtsentwürfe sind standardmäßig in behördengerechtem Englisch — die ENISA Single Reporting Platform und nationale CSIRTs erwarten es. Über den Sprachumschalter neben der Generieren-Aktion können Sie stattdessen einen deutschen Entwurf erzeugen; der Export trägt die Sprache des unterschriebenen Inhalts. Security Advisories funktionieren genauso: Die Sprache wird bei der Erstellung festgelegt (Standard Englisch) und in das lang-Feld des CSAF-Dokuments übernommen.

---

Praxisfall: 450 Maschinen im Feld, keine Software-Stückliste: Wie ein Hersteller in Tagen meldefähig wird führt einen Hersteller mit Flotte im Feld durch das, was Artikel 14 verlangt, was ohnehin zu tun ist – und was Resilic nicht löst.