TL;DR
- Die Single Reporting Platform (SRP) ist die zentrale europäische Anlaufstelle der ENISA für CRA-Meldungen, live ab 11.09.2026.
- Sie melden gleichzeitig an Ihr koordinierendes CSIRT und die ENISA; die Plattform leitet weiter. Registrieren Sie sich, bevor die Uhr läuft.
Von allen Pflichten des EU Cyber Resilience Act (Verordnung (EU) 2024/2847) greifen die Meldepflichten zuerst: Sie gelten ab dem 11. September 2026 und laufen über die SRP. Falls Sie noch klären, welche Produkte betroffen sind, beginnen Sie mit unserem kostenlosen Scope-Tool – alles Weitere setzt voraus, dass Sie bereits Produkte zum Melden haben.
Was ist die CRA Single Reporting Platform?
Der CRA richtet die Single Reporting Platform nach Artikel 16 ein, betrieben von der ENISA, mit einem einfachen Zweck: einer zentralen europäischen Anlaufstelle. Ohne sie müssten Sie getrennte Meldungen bei verschiedenen Behörden einreichen; stattdessen geben Sie eine einzige Meldung über die SRP ab, und die Plattform leitet sie an die richtigen Empfänger weiter. Sie ersetzt damit einen Flickenteppich aus Kanälen durch einen Workflow. Wie die Plattform Gestalt annahm, hat unser früheres SRP-Update verfolgt.
Wer Ihre Meldung erhält
Nach Artikel 14 melden Sie zwei Stellen gleichzeitig: dem als Koordinator benannten CSIRT und der ENISA. Ihr koordinierendes CSIRT sitzt im Mitgliedstaat Ihrer EU-Hauptniederlassung; von dort teilt die SRP die Meldung mit den relevanten nationalen CSIRTs und, bei Bedarf, den Marktüberwachungsbehörden. Das ist etwas anderes als die Konformitätsbewertung: Eine notifizierte Stelle zertifiziert Ihr Produkt, während die SRP der Ort ist, an dem Sie Probleme melden, sobald das Produkt am Markt ist.
Was Sie über die CRA Single Reporting Platform melden
Zwei Auslöser gelten: eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt und ein schwerwiegender Vorfall mit Auswirkung auf die Produktsicherheit. Jeder folgt einer gestuften Kette aus Frühwarnung, ausführlicher Meldung und Abschlussbericht. Die Fristen schlüsseln wir in unserem Leitfaden zu den Meldefristen und der „Kenntnisnahme” auf, und die vollständige Meldekette steht in unserem Beitrag zu den Schwachstellenmeldepflichten.
● Die SRP-Meldung ist ab 11. September 2026 aktiv. Danach folgt die volle CRA-Konformität am 11. Dezember 2027.
Bereiten Sie sich also jetzt vor: Bestätigen Sie zuerst Ihre betroffenen Produkte mit unserem kostenlosen Scope-Tool und operationalisieren Sie das Melden anschließend mit unserer CRA Compliance Software oder im Vergleich der CRA Compliance Pakete.
Meldung aus Cybersicherheitsgründen verzögern
Die SRP ist keine bedingungslose Veröffentlichung: Aus begründeten Cybersicherheitsgründen dürfen Sie Teile einer Meldung zurückhalten oder verzögern – etwa, damit Angreifer eine Lücke nicht vor dem Fix kennen. Die Mechanik dazu regelt ein delegierter Rechtsakt, den wir in der CRA delegierten Verordnung 2026/881 durchgehen. Es kommt also auf die richtige Balance an: Zu viel Offenlegung schafft Risiko, zu wenig Meldung zieht Bußgelder nach sich.
So werden Sie vor dem 11. September 2026 SRP-bereit
Bereitschaft betrifft weniger die Bildschirme als den Prozess. Setzen Sie deshalb vier Dinge auf: eine verantwortliche Person, einen Triage-Pfad, der „aktiv ausgenutzt” von Routine trennt, vorbereitete Meldevorlagen und Nachweise, die Sie schnell anhängen können. Ein kurzer Readiness Check zeigt, ob dieser Prozess heute existiert. In der COMPLYD-Plattform laufen Schwachstellenbehandlung und die Vorbereitung der SRP-Meldung in einem Workflow zusammen, sodass die 24-Stunden-Uhr nie mit einem leeren Blatt beginnt. Möchten Sie es durchgängig sehen? Dann testen Sie unser kostenloses CRA-Online-Check-Tool, buchen Sie eine Demo oder erfahren Sie mehr über das Team hinter COMPLYD.
Häufige Fragen
Was ist die CRA Single Reporting Platform? Der CRA richtet sie nach Artikel 16 ein, und die ENISA betreibt sie. Sie bietet Herstellern eine zentrale europäische Anlaufstelle für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle.
Wann beginnt die SRP-Meldung? Die Meldepflichten, einschließlich der SRP-Nutzung, gelten ab dem 11. September 2026.
Wer erhält eine SRP-Meldung? Ihr koordinierendes CSIRT und die ENISA. Von dort erreicht sie die relevanten nationalen CSIRTs und, falls nötig, die Marktüberwachungsbehörden.
Quellen: Verordnung (EU) 2024/2847 (CRA) — EUR-Lex, ENISA — Single Reporting Platform
Passend zu diesem Beitrag
Im CRA Leitfaden · Schritt 7
Im CRA Leitfaden · Schritt 6
Wo steht dein Produkt beim Cyber Resilience Act?
Erste Einordnung in Minuten – oder direkt die Software ansehen, die aus dem Gesetzestext einen Workflow macht.
Stephan Hutterer
Gründer & CEO, COMPLYD
Produktsicherheits-Spezialist mit über 20 Jahren Erfahrung im Schutz kritischer OT-Systeme und tiefer IEC-62443-Expertise. Er gründete COMPLYD, um den EU Cyber Resilience Act für Produktteams umsetzbar zu machen.