Wer bekommt die Meldung?

Gemeldet wird gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA. Das ist kein Nacheinander und keine Wahlmöglichkeit — beide Stellen erhalten dieselbe Meldung zum selben Zeitpunkt.

Die Übermittlung erfolgt über die einheitliche Meldeplattform nach Artikel 16 der Verordnung. Sie ist als einheitlicher Zugangspunkt gedacht: eine Eingabe, von dort aus die Verteilung an die zuständigen Stellen.

Maßgeblich ist der Mitgliedstaat der Hauptniederlassung des Herstellers. Für Hersteller mit Sitz außerhalb der Union kommt es auf den Mitgliedstaat an, in dem der Bevollmächtigte niedergelassen ist. Wer diese Zuordnung nicht geklärt hat, klärt sie besser vor dem ersten Ernstfall als darin.

Der Meldeassistent nennt die Empfängerlogik bewusst abstrakt und pflegt keine Länderliste konkreter CSIRT-Adressen. Eine solche Liste veraltet zwischen zwei Wartungszyklen — und eine veraltete Empfängerangabe im Ernstfall wäre schlimmer als gar keine.

Neben der Behördenmeldung sind betroffene Nutzerinnen und Nutzer unverzüglich zu informieren, und zwar mit ausreichenden Angaben, um sich schützen zu können. Dazu gehören ausdrücklich auch Minderungsmaßnahmen für die Zeit, in der noch kein Patch verfügbar ist.

Diese Information ist keine Kür und kein Marketingtext. Der Meldeassistent erzeugt dafür eine eigene Vorlage in Deutsch und Englisch, die sich aus denselben Angaben speist wie die Behördenmeldung.