Am 31. Juli hat die ENISA ein Factsheet und zwei Schritt-für-Schritt-Anleitungen für die Single Reporting Platform veröffentlicht, das Werkzeug, über das Hersteller von Software und vernetzten Produkten ab dem 11. September aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden müssen. Die Anleitungen erklären, wie man sich registriert, wer das darf, welche Felder auszufüllen sind. Hintereinander gelesen ergeben sie ein Bild, das keine Pressemitteilung ein Interesse hatte auszubuchstabieren: Die Plattform geht am 11. September in Betrieb, am selben Tag, an dem die Pflicht bindend wird. Kein Hersteller wird sie je gesehen haben. Es gibt keine Testumgebung, keine API ist vorgesehen, die öffentliche Adresse ist nicht bekannt, und die Liste der nationalen CSIRTs, mit denen man sprechen wird, kommt, wörtlich, „at a later stage“. Wenn der Vorhang aufgeht, ist die erste Vorstellung die Premiere, und das Publikum sitzt schon.
Vierundzwanzig Stunden, gemessen ab dem Moment, in dem man weiß
Es lohnt sich, genau in Erinnerung zu rufen, was da greift. Artikel 14 des Cyber Resilience Act verpflichtet den Hersteller, der Kenntnis von einer aktiv ausgenutzten Schwachstelle in einem seiner Produkte erlangt, oder von einem schwerwiegenden Vorfall, der die Sicherheit des Produkts betrifft, zu einer Frühwarnung binnen 24 Stunden an das als Koordinator benannte CSIRT und an die ENISA. Es folgen eine vollständigere Meldung binnen 72 Stunden und ein Abschlussbericht. Verstöße gegen diese Pflichten liegen im obersten Sanktionsband der Verordnung, bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, demselben Band, das den grundlegenden Sicherheitsanforderungen vorbehalten ist.
Das Detail, das über alles entscheidet, ist der Startpunkt der Uhr. Die 24 Stunden werden nicht ab der Korrektur gemessen, auch nicht ab der technischen Bestätigung: Sie werden ab der Kenntnisnahme gemessen. Und Kenntnisnahme ist ein organisatorischer Fakt, bevor sie ein technischer ist. Sie passiert im Ticket eines Kunden, in einer E-Mail auf dem falschen Kanal, in einem Thread, den jemand zwölf Stunden später liest. Ein Unternehmen, das nicht entschieden hat, wer intern die Autorität besitzt, „wir wissen es“ zu erklären, hat kein Formularproblem: Es hat eine Uhr, die startet, ohne dass jemand sie ticken hört.
Das volle Regime der Verordnung kommt am 11. Dezember 2027, und ich habe schon argumentiert, dass diese Monate keine Schonfrist sind. Der Teil, der jetzt startet, ist der mit der kürzesten Uhr im gesamten europäischen Produktrecht.
Die Plattform, die am Abend der Premiere öffnet
Die Anleitungen vom 31. Juli beschreiben einen vernünftigen Ablauf. Registrierung über EU Login. Zwei Plätze pro Hersteller: ein primärer Assigned Representative und ein sekundärer, der per E-Mail-Einladung beitritt, und die Einladung verfällt nach sieben Tagen. Das koordinierende CSIRT wählt man aus einem Dropdown-Menü. Die Mindestfelder der Frühwarnung sind wenige und sinnvoll: Meldungstyp, Stufe, Herstellername, Produkt, ein Titel, und bei Vorfällen die Angabe, ob eine rechtswidrige oder böswillige Handlung vermutet wird. So weit gewöhnliche, sogar gut gestaltete Bürokratie.
Dann ist da die FAQ, das aufschlussreichste der drei Dokumente, weil es in Verneinungen spricht. „No Application Programming Interfaces will be provided at this stage“: keine API, in der Epoche, in der jede Compliance-Konferenz auf jeder Folie das Wort Automatisierung ausspricht. Die Meldung mit der kürzesten Frist des europäischen Rechts wird ein Mensch sein, der ein Webformular ausfüllt, gut möglich um drei Uhr morgens. Die öffentliche Adresse „will be communicated and published in due course“, das heißt: Es gibt sie nicht. Die Liste der als Koordinatoren benannten CSIRTs, das Dropdown-Menü, das darüber entscheidet, mit wem man spricht, wird später geliefert. Und der Test der Plattform ist intern, zwischen der ENISA und den CSIRTs: Für Hersteller ist keine Probe vorgesehen. Die erste echte Meldung wird zugleich der erste Lasttest durch fremde Hände sein.
Das ist keine verwaltungstechnische Randnotiz. Es ist der Unterschied zwischen einer Pflicht und einem Dienst: Die Pflicht ist seit Monaten fertig, der Dienst öffnet am Abend der Premiere.
Das Onboarding ist eine ungeschriebene Anforderung
Die Verordnung sagt, was zu melden ist und wie schnell. Sie sagt nicht, weil es nicht ihre Aufgabe ist, dass man sich dafür vorher registriert haben muss: die EU-Login-Konten haben, die zwei Namen gewählt haben, wissen, welches CSIRT im Menü auszuwählen ist. Keine dieser Voraussetzungen ist eine Rechtspflicht. Zusammengenommen sind sie der Unterschied zwischen der Einhaltung von Artikel 14 und seinem Verstoß.
Das ist eine Kategorie, der man in der Compliance-Arbeit ständig begegnet und die keinen Namen hat: die ungeschriebene Anforderung, die operative Bedingung, ohne die die geschriebene Anforderung unerfüllbar ist. Wer den 12. September unregistriert erreicht, wird dafür nicht sanktioniert, denn die Registrierung ist nicht geschuldet. Er hat nur die erste ausgenutzte Schwachstelle in seinem Produkt in einen Wettlauf gegen zwei Uhren verwandelt, die der Meldung und die des Onboardings, und die zweite stand in niemandes Plan. Mit einem erschwerenden Kalenderumstand: Die Einladung des sekundären Vertreters verfällt nach sieben Tagen, und der September ist der Monat, in dem die primären gerade aus dem Urlaub zurück sind und anderes zu tun haben.
Pflichten rutschen nicht. Instrumente schon
Am 27. Juli hat die Kommission die in Artikel 26 der Verordnung vorgesehenen praktischen Leitlinien veröffentlicht: Anwendungsbereich, Fernverarbeitung von Daten, Open Source, wesentliche Veränderung, Supportzeitraum. Gegenüber dem Konsultationsentwurf liegen die übernommenen Forderungen der Industrie alle auf der Produktseite, der Seite, die im Dezember 2027 fällig wird: Kleinere Sicherheitskorrekturen starten den Supportzeitraum nicht neu, die Konformitätsneubewertung eines geänderten Produkts betrifft die berührten Komponenten, nicht das ganze System. Auf der Meldeseite, fällig in vier Wochen, wurde nichts zugestanden. Nicht aus Strenge: Es gab keinen Spielraum, die Termine des Artikels 14 stehen in der Verordnung, und keine Leitlinie kann sie verschieben.
Derweil sind die harmonisierten Normen, das einzige Instrument, das die Konformitätsvermutung geben wird, den anderen Weg gegangen: Die Kommission hat vorgeschlagen, die Fristen des Normungsauftrags um zwei Monate zu verschieben, die ersten horizontalen Normen werden nun für Ende Oktober 2026 erwartet, die vertikalen für Ende Dezember. Keine einzige harmonisierte CRA-Norm ist bis heute im Amtsblatt zitiert, die Konformitätsvermutung existiert also noch für keine Produktkategorie. Das Muster ist das, was das Reifegradmodell der ENISA schon im Juli sichtbar gemacht hatte: Europa hält die Termine seiner Pflichten und verfehlt die seiner Instrumente. Wer auf die Normen wartet, „um die Arbeit nicht zweimal zu machen“, spart nichts: Er wettet auf die Milde der Marktüberwachungsbehörden. Eine legitime Strategie, sofern sie dem Verwaltungsrat als das präsentiert wird, was sie ist, eine Wette und kein Plan.
Was passiert, wenn eine Pflicht scharfgeschaltet wird
Um zu wissen, was nach dem 11. September passiert, braucht es keine Vorstellungskraft: Es ist schon passiert, in Italien, in den letzten sechs Monaten. Am 24. Juli hat die ACN, die nationale Cybersicherheitsagentur, ihren Bericht über das erste Halbjahr 2026 veröffentlicht, das erste mit voll wirksamen NIS2-Meldepflichten: 2.171 bearbeitete Cyber-Ereignisse, 47 % mehr als im Vorjahreszeitraum; 1.160 eingegangene Meldungen, 953 verpflichtende und 207 freiwillige, von 890 Einrichtungen, von denen 690 noch nie zuvor etwas gemeldet hatten. Im selben Halbjahr ging Ransomware um 12 % zurück und DDoS um 32 %. Die Agentur selbst, mit einer Ehrlichkeit, die man anerkennen muss, führt das Wachstum auf die Ausweitung ihres Beobachtungsperimeters zurück und nicht auf eine proportionale Zunahme der Bedrohung.
Aus diesen Zahlen folgen zwei Lektionen. Die erste: Wenn die CRA-Meldezahlen explodieren, und sie werden es, wird jemand sie als Beweis lesen, dass Europa angegriffen wird. Sie werden der Beweis sein, dass Europa das Licht eingeschaltet hat. Die zweite steckt in der Zahl 690: Sechshundertneunzig Organisationen haben zum ersten Mal in ihrer Existenz mit ihrer Behörde gesprochen, weil eine Pflicht sie dazu gezwungen hat. Ein Erstkontakt mit einem Regulierer unter einer 24-Stunden-Frist ist der schlechteste denkbare Erstkontakt, und die ACN, die auf der europäischen Plattform auch das koordinierende CSIRT Italiens sein wird, steht vor einer zweiten Welle von Debütanten.
Das Register, das niemand öffentlich getestet hat
Ein letzter Aspekt bleibt, und er verlangt Maß. Eine Plattform, die in Echtzeit die aktiv ausgenutzten und noch nicht korrigierten Schwachstellen der Produkte auf dem europäischen Markt sammelt, ist konstruktionsbedingt eines der begehrtesten Archive des Kontinents. Die Verordnung weiß das: Artikel 16 erlaubt den CSIRTs, die Weitergabe einer Meldung aus Gründen der Cybersicherheit zu verzögern, und der delegierte Rechtsakt, der diese Fälle regelt, wurde im Dezember angenommen. Ich behaupte nicht, die Plattform sei unsicher, dafür fehlen mir die Elemente. Ich beobachte eine Asymmetrie: Wer meldet, soll einem System vertrauen, das er nie sehen durfte, während wer sammelt, öffentlich nichts beweisen musste. Für eine Infrastruktur, die die Liste der offenen Türen Europas verwahren wird, wäre eine sichtbare Betriebsphase vor der Pflicht kein Luxus gewesen: Sie wäre das Minimum des Vertrauens gewesen, das jetzt als selbstverständlich vorausgesetzt wird.
Die vier Wochen
Der nützliche Teil an alledem ist, dass sich fast alles, was dem Formular vorausgeht, jetzt proben lässt, ohne auf die ENISA zu warten. EU-Login-Konten legt man heute an, nicht am 11. September. Die zwei Namen wählt man mit dem Septemberkalender in der Hand, denn eine Einladung, die nach sieben Tagen verfällt, verzeiht keine gestaffelten Urlaube. Die Entscheidung, wer die Kenntnisnahme erklärt und über welchen Kanal, passt auf eine Seite: Sie ist die Zeile, an der die Uhr startet, und sie ist ein organisatorischer Fakt, kein technischer. Und die Generalprobe, die niemand anbietet, findet im eigenen Haus statt: Man nimmt den schlimmsten Vorfall des vergangenen Jahres und füllt auf irgendeinem Dokument die sechs Felder der Frühwarnung aus, mit der Stoppuhr daneben, um zu messen, wie lange es dauert, die Antworten nicht zu schreiben, sondern zu kennen. Ich habe schon argumentiert, dass Compliance an fehlendem Inventar scheitert: Wenn es mehr als 24 Stunden dauert, das Produkt, die Version und die Komponente zu benennen, ist das Formular der ENISA nicht das Problem.
Am 11. September geht der Vorhang ohnehin auf, für alle. Der Unterschied zwischen denen, die geprobt haben, und den anderen wird sich an diesem Tag nicht zeigen. Er wird sich in der ersten Nacht zeigen, in der eine Uhr um drei Uhr morgens startet, und in einem der beiden Unternehmen weiß jemand schon, welches Formular zu öffnen ist, mit welchen Zugangsdaten, und was hineinzuschreiben ist.
Was du mitnimmst
Die Single Reporting Platform geht am 11. September 2026 in Betrieb, am selben Tag, an dem die Meldepflicht aus Artikel 14 bindend wird. Es gibt keine Testumgebung für Hersteller, die FAQ der ENISA schließt jede API „at this stage“ aus und die öffentliche Adresse ist nicht bekannt: Die erste echte Meldung wird zugleich der erste Test der Plattform durch fremde Hände sein.
Die Pflicht steht in der Verordnung, ihre Voraussetzungen nicht: ein EU-Login-Konto, zwei Assigned Representatives pro Hersteller mit einer Einladung, die nach sieben Tagen verfällt, ein koordinierendes CSIRT aus einer Liste, die noch nicht veröffentlicht ist. Wer den 12. September unregistriert erreicht, hat seine erste ausgenutzte Schwachstelle in einen Wettlauf gegen zwei Uhren verwandelt.
Die Leitlinien der Kommission vom 27. Juli machen nur auf der Produktseite Zugeständnisse, die 2027 fällig wird: Kleinere Sicherheitskorrekturen starten den Supportzeitraum nicht neu, die Neubewertung betrifft die geänderten Komponenten. Auf der Meldeseite, fällig in vier Wochen, wurde nichts zugestanden. Und die harmonisierten Normen rutschen um zwei Monate, während die Termine der Pflichten stehen bleiben.
Das erste NIS2-Halbjahr in Italien ist die empirische Vorschau: 2.171 von der ACN bearbeitete Cyber-Ereignisse, ein Plus von 47 %, während Ransomware und DDoS zurückgehen. Wenn die CRA-Meldezahlen nach dem 11. September explodieren, ist das kein Beweis, dass Europa angegriffen wird: Es ist der Beweis, dass Europa das Licht eingeschaltet hat.
Die 24-Stunden-Uhr startet mit der Kenntnisnahme, und Kenntnisnahme ist ein organisatorischer Fakt, bevor sie ein technischer ist. Die Probe, die niemand anbietet, findet im eigenen Haus statt: den schlimmsten Vorfall des letzten Jahres nehmen, die Felder der Frühwarnung auf einem einfachen Dokument ausfüllen und messen, wie lange es dauert, die Antworten überhaupt zu kennen. Dauert es länger als 24 Stunden, ist das Formular nicht das Problem.
Fragen & Antworten
Was verlangt Artikel 14 des Cyber Resilience Act ab dem 11. September 2026?
Ein Hersteller, der Kenntnis von einer aktiv ausgenutzten Schwachstelle in einem seiner Produkte mit digitalen Elementen erlangt, oder von einem schwerwiegenden Vorfall, der die Sicherheit des Produkts betrifft, muss binnen 24 Stunden eine Frühwarnung an das als Koordinator benannte CSIRT und an die ENISA übermitteln, gefolgt von einer vollständigeren Meldung binnen 72 Stunden und einem Abschlussbericht. Die Uhr startet mit der Kenntnisnahme, nicht mit der Korrektur, und Verstöße gegen diese Pflichten liegen im obersten Sanktionsband der Verordnung: bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes.
Was ist die Single Reporting Platform, und warum lässt sie sich nicht vorab ausprobieren?
Sie ist die einheitliche Plattform, eingerichtet durch Artikel 16 des CRA und betrieben von der ENISA, über die alle Meldungen nach Artikel 14 laufen. Sie geht am 11. September 2026 in Betrieb, am selben Tag, an dem die Pflicht bindend wird. Getestet wurde intern, zwischen der ENISA und den nationalen CSIRTs: Für Hersteller ist keine Testumgebung vorgesehen, die offizielle FAQ schließt jede API „at this stage“ aus, und die öffentliche Adresse wird erst kurz vor dem Start bekannt gegeben.
Wie funktioniert die Registrierung auf der Plattform?
Man braucht ein EU-Login-Konto. Jeder Hersteller hat zwei Plätze: einen primären Assigned Representative und einen sekundären, der über eine E-Mail-Einladung beitritt, die sieben Tage gültig ist. Bei der Registrierung wählt man aus einem Dropdown-Menü das als Koordinator benannte nationale CSIRT, aber die Liste der benannten CSIRTs ist noch nicht veröffentlicht. Die Validierung durch das CSIRT erfolgt nach dem ersten Zugriff und läuft parallel zu einer etwaigen Meldung: Man kann melden, bevor die Validierung abgeschlossen ist, aber niemand will den Ablauf während der ersten ausgenutzten Schwachstelle kennenlernen.
Nach dem 11. September werden die Meldezahlen explodieren: Heißt das, die Angriffe nehmen zu?
Nein, und das erste italienische NIS2-Halbjahr beweist es. Am 24. Juli 2026 berichtete die ACN von 2.171 bearbeiteten Cyber-Ereignissen, ein Plus von 47 % gegenüber dem Vorjahreszeitraum, mit 1.160 eingegangenen Meldungen von 890 Einrichtungen, von denen 690 zum allerersten Mal meldeten. Im selben Halbjahr ging Ransomware um 12 % zurück und DDoS um 32 %. Die Agentur selbst führt das Wachstum auf die Ausweitung des Beobachtungsperimeters zurück, nicht auf eine proportionale Zunahme der Bedrohung: Wenn eine Meldepflicht scharfgeschaltet wird, steigt die Sichtbarkeit, nicht der Angriff.
Was kann ein Hersteller in den vier verbleibenden Wochen tun?
Alles, was dem Formular vorausgeht, lässt sich jetzt proben: heute die EU-Login-Konten anlegen, die beiden Vertreter mit dem Septemberkalender in der Hand auswählen, denn die Einladung des sekundären verfällt nach sieben Tagen, und schriftlich festlegen, wer im Unternehmen die Kenntnisnahme einer ausgenutzten Schwachstelle erklärt und über welchen Kanal, denn dort startet die Uhr. Dann im eigenen Haus die Generalprobe abhalten, die die ENISA nicht anbietet: den schlimmsten Vorfall des letzten Jahres nehmen und auf einem einfachen Dokument die Felder der Frühwarnung ausfüllen, mit der Stoppuhr daneben, um zu messen, wie lange es dauert, die Antworten überhaupt zu kennen.
Der Autor
