Kostenlos · ohne Anmeldung · Daten bleiben im Browser
CRA-Meldeassistent: Artikel 14 in unter fünf Minuten
Es ist Freitagabend, eine Meldung geht ein, und niemand weiß, ob die 24-Stunden-Uhr läuft, wer Empfänger ist und was in die Meldung gehört. Dieses Werkzeug beantwortet genau das — für Hersteller von Produkten mit digitalen Elementen, ab dem 11. September 2026.
- Fristenuhr für 24 h, 72 h und Abschlussbericht — mit dem richtigen Fristanker je Pfad
- Ihre Angaben verlassen den Browser nicht: kein Konto, keine Serverspeicherung
- Fertiger Meldetext auf Deutsch und Englisch, dazu ein Vorgangsprotokoll als Nachweis
Wenn Sie erst die Rechtslage klären wollen
Fünf kurze Erklärseiten zu den Fragen, die vor der ersten Meldung auftauchen.
- Die Fristen nach Artikel 14 CRA24 Stunden, 72 Stunden, Abschlussbericht — und der eine Unterschied, der regelmäßig übersehen wird.
- Schwachstelle oder Vorfall — welcher Pfad gilt?Die Abgrenzung entscheidet über Pflichtinhalte und über die Frist des Abschlussberichts.
- Wer bekommt die Meldung?CSIRT und ENISA gleichzeitig, übermittelt über eine einzige Plattform — die noch im Aufbau ist.
- CRA und NIS2 — wann gilt was?Zwei Meldepflichten, zwei Rollen. Wer beide erfüllt, meldet zweimal.
- Was ab dem 11. Dezember 2027 dazukommtDie Meldepflicht ist der erste Schritt. Danach folgen Konformität, Dokumentation und Supportzeitraum.
Häufige Fragen
Fragen, die uns oft gestellt werden
Ab wann gilt die Meldepflicht nach Artikel 14 CRA?
Ab dem 11. September 2026. Sie gilt auch für Produkte, die bereits ausgeliefert sind — nicht nur für Neuentwicklungen.
Welche Fristen habe ich genau?
Frühwarnung binnen 24 Stunden und detaillierte Meldung binnen 72 Stunden, beides ab Kenntniserlangung. Der Abschlussbericht unterscheidet sich je nach Fall: bei einer aktiv ausgenutzten Schwachstelle 14 Tage ab Verfügbarkeit der Korrektur- oder Abhilfemaßnahme, bei einem schwerwiegenden Sicherheitsvorfall ein Monat ab der 72-Stunden-Meldung.
Startet die Frist für den Abschlussbericht mit der Kenntniserlangung?
Bei einer aktiv ausgenutzten Schwachstelle nicht. Diese Frist beginnt erst, wenn die Korrektur- oder Abhilfemaßnahme verfügbar ist. Solange die noch fehlt, läuft für den Abschlussbericht gar keine Uhr. Das wird in der Praxis regelmäßig verwechselt — deshalb zeigt der Assistent an dieser Stelle bewusst keinen Countdown, sondern den Hinweis, dass die Frist noch nicht angelaufen ist.
An wen wird gemeldet?
Gleichzeitig an das als Koordinator benannte CSIRT des Mitgliedstaats Ihrer Hauptniederlassung und an die ENISA, übermittelt über die einheitliche Meldeplattform nach Artikel 16 CRA.
Reicht das Werkzeug die Meldung für mich ein?
Nein. Der Assistent erzeugt einen einreichungsfertigen Meldetext und ein Protokoll. Die Einreichung nehmen ausschließlich Sie über die Meldeplattform beziehungsweise Ihr zuständiges CSIRT vor. Die Verantwortung für Fristwahrung und Vollständigkeit bleibt beim Hersteller.
Wo landen die Daten, die ich eingebe?
In Ihrem Browser und sonst nirgends. Es gibt keine Nutzerkonten und keine Speicherung auf unseren Servern; PDF, JSON und Kalenderdatei entstehen auf Ihrem Gerät. Das ist Absicht: Hier werden unveröffentlichte Schwachstellen erfasst.
Muss ich meine Nutzer auch informieren?
Ja, parallel zur Behördenmeldung und unverzüglich, mit genug Angaben für Schutzmaßnahmen — einschließlich Minderungsmaßnahmen für die Zeit, in der noch kein Patch verfügbar ist. Der Assistent erzeugt dafür eine eigene Textvorlage in Deutsch und Englisch.
Was kostet der Meldeassistent?
Nichts, dauerhaft. Es gibt keine Anmeldung und keine Funktionsgrenze.