CRA SRP Registrierung: Anleitung zur Single Reporting Platform

Welche Produkte betroffen sind, sollten Sie an diesem Punkt bereits wissen – unser kostenloses Scope-Tool klärt das in Minuten – ebenso, wie die CRA Single Reporting Platform in den EU Cyber Resilience Act passt. Dieser Beitrag ergänzt die praktische Ebene und bringt Ihre Organisation auf die Plattform, bevor die 24-Stunden-Uhr startet.

Der Zugang läuft über EU Login

Der Zugang zur SRP läuft über EU Login, den Standard-Authentifizierungsdienst der Europäischen Kommission (früher ECAS). In der Praxis meldet sich jede Vertretung mit einem persönlichen EU-Login-Konto an – wer im Team schon einmal ein EU-Portal genutzt hat, besitzt womöglich bereits eines. Dieses eine Konto genügt für den Einstieg; die Hersteller-Entität registrieren Sie anschließend separat innerhalb der SRP. Legen Sie deshalb zuerst EU Login an und aktivieren Sie gleich die Zwei-Faktor-Authentifizierung.

Vor der CRA SRP Registrierung: Was Sie bereitlegen sollten

Erledigen Sie das einmal in Ruhe, lange vor einem Vorfall:

• Legen Sie fest, wer die Rollen hält — eine primäre Person und mindestens eine Vertretung. Die SRP nennt sie Assigned Representatives (AR). Beachten Sie: AR unterscheidet sich vom bevollmächtigten Vertreter nach Artikel 18.
• Bestimmen Sie Ihr koordinierendes CSIRT — jenes Ihrer EU-Hauptniederlassung. Sie wählen es aus einem Dropdown.
• Sammeln Sie Ihre Hersteller-Stammdaten — Firmenname, Adresse und Kontaktdaten.
• Lesen Sie die ENISA-Anleitung zur AR-Registrierung und die Materialien auf der offiziellen SRP-Seite.

Schritt für Schritt: CRA SRP Registrierung

Folgen Sie diesen sechs Schritten:

1. EU-Login-Konto anlegen für Ihre primäre Vertretung unter EU Login. Danach ein zweites für die Vertretung. Richten Sie dort gleich die Zwei-Faktor-Authentifizierung ein.
2. SRP öffnen. Wählen Sie beim ersten Zugriff Ihre Rolle.
3. Zuständiges CSIRT wählen aus dem Dropdown.
4. Rechtliche Vereinbarung akzeptieren. Bestätigen Sie danach die aus EU Login vorausgefüllten Daten.
5. Hersteller-Entität registrieren. Geben Sie Name, Adresse und die übrigen Angaben ein.
6. Sekundäre Vertretung einladen per E-Mail. Senden Sie zügig, denn der Link läuft nach 7 Tagen ab.

Das ist das gesamte Onboarding. Vorab erledigt, wird daraus im Ernstfall ein reines Einloggen und Melden – andernfalls legen Sie Konten unter Zeitdruck an.

Meldung absenden: Was jede Stufe braucht

Nach der Registrierung reichen Sie über den Browser ein – ein Melde-API gibt es zum Start nicht. Die Meldung folgt der Kette aus unserem Leitfaden zu den Meldefristen:

• 24-Stunden-Frühwarnung — nur Pflichtfelder: Typ und Stufe, Titel und Zusammenfassung, Hersteller- und Produktname, Produktversion, Datum und Uhrzeit der Kenntnisnahme sowie ob Sie einen böswilligen Akt vermuten.
• 72-Stunden-Meldung — ergänzen Sie Art der Schwachstelle bzw. des Exploits sowie Ihre Korrekturmaßnahmen.
• Abschlussbericht — vollständige Beschreibung, Schwere, Auswirkung und die Details des Sicherheitsupdates.

Dazu kommen zwei Grenzen: eine Obergrenze von 20 unvalidierten Meldungen pro Hersteller, und die freiwillige Meldung nach Artikel 15, die auf eine spätere Phase wartet. Die vollständige Kette steht in unserem Leitfaden zu den Schwachstellenmeldepflichten, die häufigsten Fehler in den 10 Meldepflicht-Irrtümern.

Wann Sie etwas zurückhalten dürfen

Aus begründeten Cybersicherheitsgründen dürfen Sie Teile einer Meldung verzögern, etwa um Nutzer nicht zu gefährden, bevor ein Fix existiert. Geregelt wird das in der delegierten Verordnung 2026/881. Dennoch bleibt zweierlei unverhandelbar: Erstens dürfen Sie die Registrierung nicht überspringen, und zweitens dürfen Sie die Frühwarnung nicht versäumen. Andernfalls drohen Bußgelder von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes.

Warum Sie die CRA SRP Registrierung früh erledigen

ENISA hat die Anleitung erst wenige Wochen vor dem Start veröffentlicht, und Anfang September 2026 war die öffentliche Plattform-URL noch nicht erreichbar; der Live-Link wird auf der offiziellen ENISA-SRP-Seite bekannt gegeben. Lassen Sie dennoch keine Zeit verstreichen und bereiten Sie schon heute Personen, Rollen und Stammdaten vor. Ein anschließender kurzer Readiness Check zeigt dann, ob Sie für die Meldefristen bereit sind. Kleiner Vorgeschmack gefällig? Dann testen Sie unser kostenloses CRA-Online-Check-Tool, buchen Sie eine Demo oder erfahren Sie mehr über das Team hinter COMPLYD.

Häufige Fragen

Was brauche ich für den Zugang zur CRA SRP? Ein EU-Login-Konto, den Authentifizierungsdienst der Europäischen Kommission. Jede Vertretung meldet sich mit einem eigenen Konto an, und die Hersteller-Entität registrieren Sie separat innerhalb der SRP.

Wer sollte sich als Vertretung registrieren? Benennen Sie eine primäre und mindestens eine vertretende Assigned Representative (AR). AR ist eine Plattform-Rolle und unterscheidet sich vom bevollmächtigten Vertreter nach Artikel 18.

Wann kann ich registrieren? Die Plattform öffnet am 11. September 2026. Bereiten Sie EU-Login-Konten, Rollen und Stammdaten also vorab vor.

Quellen: Verordnung (EU) 2024/2847 (CRA) — EUR-Lex, ENISA — Single Reporting Platform, EU Login — Europäische Kommission

Über den Autor

Stephan Hutterer

Gründer & CEO, COMPLYD

Produktsicherheits-Spezialist mit über 20 Jahren Erfahrung im Schutz kritischer OT-Systeme und tiefer IEC-62443-Expertise. Er gründete COMPLYD, um den EU Cyber Resilience Act für Produktteams umsetzbar zu machen.

inLinkedIn-Profil