TL;DR
- Die delegierte Verordnung (EU) 2026/881 regelt, wann CSIRTs die Weitergabe Ihrer Schwachstellenmeldungen verzögern dürfen.
- Ihre eigene 24/72-Stunden-Uhr pausiert das nicht – es betrifft nur die Weitergabe. Angenommen am 11.12.2025.
Warum die CRA delegierte Verordnung zählt
Sofortige Informationsweitergabe ist für koordinierte Incident Response entscheidend, doch verfrühte Offenlegung kann Angreifern helfen, eine Schwachstelle zu weaponisieren, bevor ein Patch existiert. Die CRA delegierte Verordnung gibt CSIRTs einen Rechtsrahmen, um Transparenz und Risiko abzuwägen, und legt fest, wann das zuerst benachrichtigte CSIRT (das „initiale CSIRT”) die Weitergabe an andere relevante CSIRTs im EU Cyber Resilience Act verzögern darf.
Kernregelungen der CRA delegierten Verordnung
1. Gründe aufgrund der Informationssensibilität
Das initiale CSIRT darf die Weitergabe verzögern, wenn die Risiken den Nutzen überwiegen oder Vertraulichkeit selbst mit TLP (Traffic Light Protocol) oder PAP (Permissible Actions Protocol) nicht gewährleistet ist. Konkrete Bedingungen: ein Patch oder eine Anleitung binnen 72 Stunden zu erwarten; ein reales Ausnutzungsrisiko (die Information könnte eine Angriffstechnik ermöglichen); die Möglichkeit, Teildetails bis zur Abhilfe zu teilen; sowie eine laufende Coordinated Vulnerability Disclosure (CVD), bei der alle Parteien zustimmen müssen.
2. Gründe bezogen auf einzelne CSIRTs
Die Weitergabe darf verzögert werden, wenn ein relevantes CSIRT einen Sicherheitsvorfall erlitten hat, der seine Vertraulichkeit gefährdet, oder wenn Grund zur Annahme besteht, dass seine Fähigkeiten zum Schutz der sensiblen Daten unzureichend sind.
3. Gründe bezogen auf die Single Reporting Platform
Ist ENISAs Single Reporting Platform selbst kompromittiert, kann die Weitergabe verzögert werden, bis ihre Sicherheit wiederhergestellt ist.
Kurzüberblick: Wann darf die Weitergabe verzögert werden
Was die CRA delegierte Verordnung für Hersteller bedeutet
Verzögerungen sind temporäre Schutzmaßnahmen, keine Befreiung von der Meldung. In der Praxis belohnt die CRA delegierte Verordnung Hersteller, die schnell patchen – 72 Stunden sind das entscheidende Fenster –, akkurate Schwachstellendetails und Abhilfepläne pflegen und proaktiv mit CSIRTs koordinieren. An Ihrer eigenen Pflicht ändert sie nichts: Nach Artikel 14 melden Sie weiterhin beide Tracks über die Single Reporting Platform an das zuständige CSIRT und ENISA. Bei einer aktiv ausgenutzten Schwachstelle sind das Frühwarnung in 24 Std., Meldung in 72 Std., Abschlussbericht in 14 Tagen; bei einem schwerwiegenden Vorfall 24 Std., 72 Std. und ein Monat.
Wichtige Termine
- 11. Dezember 2025 – die CRA delegierte Verordnung (EU) 2026/881 wurde angenommen.
- 11. September 2026 – die Meldepflicht beginnt und die Single Reporting Platform geht live.
- 11. Dezember 2027 – volle CRA-Compliance gilt.
● Die Meldepflicht startet am 11. September 2026 – ist Ihr Prozess bereit?
Bereiten Sie beide Melde-Tracks vor – mit unserer CRA Incident Reporting Software, verstehen Sie die Konsequenzen im CRA-Sanktionen-Beitrag, testen Sie unser kostenloses CRA-Online-Check-Tool, oder buchen Sie eine Demo.
CRA delegierte Verordnung: Wie COMPLYD Sie voraus hält
COMPLYD integriert Schwachstellen- und Vorfallsmeldung in Ihren Produkt-Workflow – mit geführter Klassifizierung, CRA-konformer Risikoanalyse, Konformitätsunterstützung und Lebenszyklus-Management –, sodass Ihr Prozess beim Start der Single Reporting Platform bereits eingeübt und dokumentiert ist.
Häufige Fragen
Ist die CRA delegierte Verordnung zur Verzögerung von Meldungen final?
Ja. Sie wurde am 11. Dezember 2025 als Delegierte Verordnung (EU) 2026/881 angenommen; sie ist kein Entwurf mehr.
Ändert eine Verzögerung meine Meldepflicht?
Nein. Eine Verzögerung ist eine temporäre Schutzmaßnahme der CSIRTs zur Verhinderung von Ausnutzung; Ihre Pflicht nach Artikel 14, über die Single Reporting Platform zu melden, bleibt bestehen.
Wann öffnet die Single Reporting Platform?
ENISA bestätigt, dass sie bis zum 11. September 2026 betriebsbereit sein soll – am selben Tag, an dem die Meldepflichten aus Artikel 14 beginnen.
Passend zu diesem Beitrag
Im CRA Leitfaden · Schritt 7
Im CRA Leitfaden · Schritt 6
Wo steht dein Produkt beim Cyber Resilience Act?
Erste Einordnung in Minuten – oder direkt die Software ansehen, die aus dem Gesetzestext einen Workflow macht.
Zuletzt aktualisiert am 2. Oktober 2026 · Quellen: Delegierte Verordnung (EU) 2026/881 — EUR-Lex, Verordnung (EU) 2024/2847 (CRA) — EUR-Lex, ENISA — SRP FAQ
Stephan Hutterer
Gründer & CEO, COMPLYD
Produktsicherheits-Spezialist mit über 20 Jahren Erfahrung im Schutz kritischer OT-Systeme und tiefer IEC-62443-Expertise. Er gründete COMPLYD, um den EU Cyber Resilience Act für Produktteams umsetzbar zu machen.