ENISA Single Reporting Platform erklärt: Der Leitfaden für Hersteller

Wenn EU-Hersteller fragen, was die ENISA Single Reporting Platform ist, lautet die praktische Antwort: Sie ist der zentrale, authentifizierte Kanal, über den CRA-Vorfallmeldungen und Schwachstellenoffenlegungen nach der Verordnung (EU) 2024/2847 an die Behörden gehen. Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen dort aktiv ausgenutzte Schwachstellen und erhebliche Vorfälle innerhalb enger Fristen einreichen. Dieser Leitfaden erklärt, was die Plattform ist, was eine Einreichung enthalten sollte und wie Sie sich vorbereiten, damit die 24-Stunden-Uhr etwas ist, das Sie treffen, statt fürchten.

Die Rolle der Plattform im CRA

Die Cyber Resilience Act bestimmt die ENISA Single Reporting Platform als gemeinsame Meldeinfrastruktur für die Pflichten aus Artikel 14. Ihr Zweck ist Konsolidierung: Anstatt sich durch ein Flickwerk nationaler Postfächer zu navigieren, gibt es ein authentifiziertes Ziel für Schwachstellen- und Vorfallmeldungen, das ENISA dann an die zuständigen nationalen Cybersicherheitsbehörden und CSIRTs weiterleitet.

Die Plattform koordiniert zunehmend auch die NIS2-Meldepfade, sodass ein Ereignis, das beide Regime auslöst, über eine koordinierte Einreichung abgewickelt werden kann statt über doppelte, womöglich widersprüchliche Meldungen. Damit wird sie zum operativen Zentrum der Offenlegungspflichten eines EU-Herstellers.

Was eine Einreichung auslöst

Zwei Szenarien führen einen Hersteller zur Plattform:

1. Aktiv ausgenutzte Schwachstelle. Wenn Sie wissen oder Grund zu der Annahme haben, dass eine Schwachstelle in Ihrem Produkt im Feld ausgenutzt wird, melden Sie sie innerhalb von 24 Stunden — Schwachstelle, Auswirkungen und verfügbare Maßnahmen.
2. Erheblicher Sicherheitsvorfall. Sie reichen eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Vorfallmeldung innerhalb von 72 Stunden und einen Abschlussbericht nach Abschluss ein.

Die Plattform ist also kein passives Verzeichnis, sondern der Kanal, der eine fristgetriebene gesetzliche Pflicht erfüllt.

Was das Portal in einer Einreichung erwartet

Auch wenn sich die genauen Formularfelder weiterentwickeln, umfasst eine Article-14-gerechte Einreichung konsistent:

• Produktidentifikation — Name, Versionen, betroffene Komponenten.
• Beschreibung von Schwachstelle oder Vorfall — wie entdeckt und was sie bewirkt.
• Auswirkungsbewertung — Effekte auf Nutzer, abhängige Produkte, Ökosystem.
• Maßnahmen — Patches, Workarounds und Konfigurationshinweise.
• Identifikatoren — CVE- oder EUVD-Referenzen, sofern vorhanden.
• Meldender und Kontakt — wer für Rückfragen verantwortlich ist.

Das Vorab-Ausfüllen dieser Felder als Vorlage ist der wirkungsvollste Vorbereitungsschritt. Wenn die 24-Stunden-Uhr läuft, besteht die Arbeit im Befüllen, nicht im Erfinden von Struktur.

So bereiten Sie sich vor dem Stichtag vor

Behandeln Sie Plattform-Readiness als wiederholbare Übung, nicht als einmalige Konfiguration:

• Früh registrieren. Organisatorischen Zugang und Credential-Management für das ENISA-Vulnerability-Portal einrichten, bevor Sie es unter Druck brauchen.
• Erkennung an Meldung koppeln. PSIRT, Threat Intelligence und Incident Response leiten ein „aktiv ausgenutzt”-Urteil direkt an die einreichungsberechtigte Person.
• Die Uhr üben. Ein Tabletop, das in einer vollständigen Plattformeinreichung endet, gegen die 24-Stunden-Frist gemessen.
• Nachweise auditiert halten. Eine vertretbare Dokumentation, was Sie wann wussten — der Auslöser ist Kenntnisnahme, und Sie müssen die Zeitachse eventuell belegen.

Meldung mit dem Risikobild verknüpfen

Eine an die Plattform eingereichte Meldung ist nur so genau wie das Risikobild dahinter. Hersteller, die schnell und korrekt melden, verknüpfen jede gemeldete Schwachstelle oder jeden Vorfall mit den Produkten, Lieferanten und Assets, die er betrifft — genau das liefert ein gepflegtes Risikoregister. Das Verständnis der Preise für die Werkzeuge, die dieses Register aktuell halten, stellt sicher, dass Readiness als dauerhafte Fähigkeit finanziert wird statt als Lücke mitten im Vorfall.

Fazit

Die ENISA Single Reporting Platform macht die Meldepflichten des CRA konkret: ein einziger, authentifizierter Kanal für die Schwachstellen- und Vorfallmeldungen, die Hersteller der EU ab dem 11. September 2026 schulden. Wer sie gut navigiert, registriert sich früh, hält Einreichungen vor und übt die 24-Stunden-Uhr — und macht so eine regulatorische Bedrohung zu einer routinierten Disziplin.

Für den breiteren Rahmen der Pflichten lesen Sie unseren Artikel zu den CRA Artikel 14 Meldepflichten.