Vorfallmeldung in 24 Stunden: Proben Sie den Ernstfall vor dem 11. September

Ab dem 11. September 2026 verpflichtet Artikel 14 des Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) Hersteller von Produkten mit digitalen Elementen zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen. Der Finanzsektor kennt diesen Takt aus DORA. Die Frage für den August lautet schlicht: Schafft Ihr Team eine Meldung in 24 Stunden, am Wochenende, auf Englisch?

Drei Regime, eine Uhr

Die CRA-Fristen laufen ab Kenntnisnahme durch den Hersteller. Meldungen gehen über die gemeinsame Meldeplattform der CSIRTs und der ENISA, und die Meldepflicht greift mehr als ein Jahr vor dem Rest der Verordnung, der ab dem 11. Dezember 2027 gilt.

Finanzunternehmen kennen die Disziplin bereits: DORA (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 und verlangt bei schwerwiegenden IKT-Vorfällen Erstmeldung, Zwischenbericht und Abschlussbericht. In Polen haben wesentliche und wichtige Einrichtungen nach der Novelle des KSC-Gesetzes eigene Meldepflichten, die samt Anbindung an das System S46 bis zum 3. April 2027 stehen müssen. Drei Regime, drei Formulare, ein gemeinsamer Zug: Die Uhr startet, bevor sich irgendjemand bereit fühlt.

Freitag, 22:00 Uhr

Stellen Sie sich den Testfall vor. Freitag, 22:00 Uhr, ein Sicherheitsforscher schreibt an Ihre Support-Adresse: Eine Schwachstelle in der Firmware Ihres Geräts wird gerade aktiv ausgenutzt. 24 Stunden ab Kenntnis heißt Samstagabend. Wer stellt fest, ob der Fall unter den CRA fällt? Wer schreibt die Frühwarnung? Wer gibt sie frei, während die Leiterin der Rechtsabteilung im Flugzeug sitzt? Wo liegen Kontakte und Zugangsdaten der Meldeplattform, und kennt der Bereitschaftsdienst diesen Ort?

Teams, die diese Übung durchspielen, treffen auf dieselben Engpässe. Der Jurist ist nicht erreichbar. Die Vorlage existiert nur in der Landessprache, und um Mitternacht traut niemand seinem juristischen Englisch. Niemand hat vorher definiert, wo „schwerwiegend” beginnt, also frisst der Streit über die Meldepflicht die ersten zwölf Stunden.

Eine Übung für einen Nachmittag

Für diese Erkenntnisse brauchen Sie drei Stunden und eine Seite Szenario. Holen Sie Technik, Recht, Kommunikation und die Bereitschaftsleitung an einen Tisch. Gehen Sie die Abfolge durch: Wer erklärt den Vorfall für meldepflichtig, wer schreibt, wer gibt frei, wo stehen die Plattformkontakte, welche Felder verlangt das Formular. Eine Person protokolliert jede Frage ohne Antwort. Dieses Protokoll ist das Ergebnis der Übung.

Danach schließen Sie die Lücken und wiederholen die Probe vor dem 11. September.

Was wir jetzt empfehlen

• Setzen Sie in den nächsten zwei Wochen eine dreistündige Übung an; laden Sie Technik, Recht, Kommunikation und die Bereitschaftsleitung ein.
• Erstellen Sie eine einseitige Entscheidungskarte: Was löst in Ihrer Organisation eine Meldung nach CRA, DORA oder KSC aus, und wer entscheidet, wenn die erste Person nicht erreichbar ist?
• Bereiten Sie Vorlagen für die Frühwarnung und die 72-Stunden-Meldung auf Englisch und in der Landessprache vor, mit vorstrukturierten Faktenfeldern.
• Hinterlegen Sie Plattformkontakte, Zugangsdaten und Vertreterlisten dort, wo der Bereitschaftsdienst sie freitags um 22:00 Uhr findet.
• Schließen Sie nach der Übung zuerst die drei größten Lücken und terminieren Sie die Wiederholung vor dem 11. September.

Quellen: Europäische Kommission: CRA-Meldepflichten · Verordnung (EU) 2024/2847 (CRA) · gov.pl: KSC-Novelle