Schwachstellen-Meldepflicht für Industrieautomation & Leittechnik
- Rechtsgrundlage
- Art. 14, Art. 13 Abs. 6, Art. 71 Abs. 2 CRA
- Frist
- Frist: 11. September 2026 (früher als die restlichen CRA-Pflichten)
Was Sie wissen müssen
Schwachstellen-Meldepflicht im Industrieautomation & Leittechnik: Was der CRA konkret fordert, typische Herausforderungen und erste Schritte — branchenspezifisch erklärt.
Schwachstellen-Meldepflicht ab September 2026
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an ENISA melden. Dazu kommen eine öffentliche Vulnerability Disclosure Policy und ein koordinierter Patch-Prozess.
Konkrete Anforderungen nach CRA:
- 24h-Frühwarnung an ENISA bei aktiv ausgenutzter Schwachstelle
- 72h-Meldung mit vollständigen Details
- Vulnerability Disclosure Policy (VDP) öffentlich zugänglich
- Koordinierter Patch-Prozess mit Meldung der Behebung
- Schwachstellen-Datenbank (intern) als Basis für Meldungen
Warum ist Schwachstellen-Meldepflicht für Industrieautomation & Leittechnik besonders relevant?
Bei Industrieleitsystemen ist die Schwachstellen-Meldepflicht besonders heikel: Patches können nicht ad-hoc eingespielt werden — Wartungsfenster in Produktionsanlagen sind selten und teuer. Der CRA-Prozess muss trotzdem funktionieren: Schwachstelle erkannt → 24h Meldung → Patch entwickeln → koordinierter Rollout im nächsten Wartungsfenster.
Typische Herausforderung
Produktionsanlagen laufen 24/7. Ein erzwungener Neustart für ein Sicherheits-Update kann Stunden Produktionsausfall bedeuten. Der Meldeprozess muss trotzdem die 24h-Frist einhalten.
Besonderheiten im Industrieautomation & Leittechnik
- IEC 62443 als relevante Norm — Überschneidung mit CRA-Anforderungen nutzen
- Systemintegratoren werden durch Eigenentwicklungen selbst zum CRA-Hersteller
- Lange Wartungsfenster: 24h-Meldepflicht operativ anspruchsvoll
Erste Schritte zur Umsetzung
- 1
VDP-Dokument erstellen und unter security.txt oder dedizierter URL veröffentlichen
- 2
Internen Schwachstellen-Triage-Prozess etablieren (Eingang → Bewertung → Eskalation)
- 3
ENISA-Meldekanal einrichten (EUVDB-Plattform, ab 2026 verfügbar)
- 4
SLA für 24h-Meldung intern verabschieden
- 5
Update-Bereitstellung koordinieren (OTA, Patch-Notes, Kundenkommunikation)
Weiterlernen
Vertiefende Artikel
Nächster Schritt
Wissen allein schützt nicht. Prüfen Sie jetzt, welche CRA-Klasse Ihr Produkt betrifft — kostenlos, in unter 3 Minuten.