Schwachstellen-Meldepflicht für Embedded-Hersteller
- Rechtsgrundlage
- Art. 14, Art. 13 Abs. 6, Art. 71 Abs. 2 CRA
- Frist
- Frist: 11. September 2026 (früher als die restlichen CRA-Pflichten)
Was Sie wissen müssen
Schwachstellen-Meldepflicht im Embedded-Hersteller: Was der CRA konkret fordert, typische Herausforderungen und erste Schritte — branchenspezifisch erklärt.
Schwachstellen-Meldepflicht ab September 2026
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an ENISA melden. Dazu kommen eine öffentliche Vulnerability Disclosure Policy und ein koordinierter Patch-Prozess.
Konkrete Anforderungen nach CRA:
- 24h-Frühwarnung an ENISA bei aktiv ausgenutzter Schwachstelle
- 72h-Meldung mit vollständigen Details
- Vulnerability Disclosure Policy (VDP) öffentlich zugänglich
- Koordinierter Patch-Prozess mit Meldung der Behebung
- Schwachstellen-Datenbank (intern) als Basis für Meldungen
Warum ist Schwachstellen-Meldepflicht für Embedded-Hersteller besonders relevant?
Embedded-Hersteller stehen vor einer besonderen Herausforderung: Firmware-Updates können auf bereits ausgelieferten Geräten oft nicht einfach eingespielt werden — fehlende OTA-Mechanismen, proprietäre Update-Formate oder kundenseitige Genehmigungsprozesse verzögern Patches. Die 24h-Meldung bei ENISA ist trotzdem Pflicht, auch ohne sofortigen Patch.
Typische Herausforderung
Embedded-Hersteller ohne OTA-Mechanismus müssen Service-Techniker entsenden oder Kunden anleiten, Firmware manuell zu flashen. Das kann Wochen dauern — die Meldung nach CRA muss trotzdem innerhalb von 24 Stunden erfolgen.
Besonderheiten im Embedded-Hersteller
- Physische Angriffsvektoren (JTAG, UART) müssen in Risikoanalyse bewertet werden
- OTA-Update-Mechanismus ist für viele Embedded-Produkte eine neue Anforderung
- Als Komponente verbaut: Pflichten liegen beim Komponentenhersteller UND beim Gerätehersteller
Erste Schritte zur Umsetzung
- 1
VDP-Dokument erstellen und unter security.txt oder dedizierter URL veröffentlichen
- 2
Internen Schwachstellen-Triage-Prozess etablieren (Eingang → Bewertung → Eskalation)
- 3
ENISA-Meldekanal einrichten (EUVDB-Plattform, ab 2026 verfügbar)
- 4
SLA für 24h-Meldung intern verabschieden
- 5
Update-Bereitstellung koordinieren (OTA, Patch-Notes, Kundenkommunikation)
Weiterlernen
Vertiefende Artikel
Nächster Schritt
Wissen allein schützt nicht. Prüfen Sie jetzt, welche CRA-Klasse Ihr Produkt betrifft — kostenlos, in unter 3 Minuten.