Die Fristen nach Artikel 14 CRA

Artikel 14 der Verordnung (EU) 2024/2847 kennt zwei Auslöser: eine aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen und einen schwerwiegenden Sicherheitsvorfall, der die Sicherheit des Produkts beeinträchtigt. Beide führen durch dieselben drei Stufen — Frühwarnung, detaillierte Meldung, Abschlussbericht.

Die Frühwarnung ist binnen 24 Stunden abzusetzen, die detaillierte Meldung binnen 72 Stunden. Beide Fristen laufen ab dem Zeitpunkt, zu dem der Hersteller Kenntnis erlangt hat. Nicht ab der Bestätigung, nicht ab der Reproduktion im Labor, nicht ab dem Ende der internen Bewertung.

Die Frühwarnung darf dünn sein. Sie verlangt im Kern, wer meldet, welches Produkt in welcher Version betroffen ist, worum es geht und in welchen Mitgliedstaaten das Produkt bereitgestellt wurde. Fehlende Angaben werden später nachgereicht — eine verspätete Meldung lässt sich dagegen nicht nachholen.

Hier liegt der Unterschied, der in der Praxis regelmäßig falsch verstanden wird. Bei einer aktiv ausgenutzten Schwachstelle ist der Abschlussbericht binnen 14 Tagen fällig — gerechnet ab dem Zeitpunkt, zu dem eine Korrektur- oder Abhilfemaßnahme verfügbar ist. Solange keine verfügbar ist, läuft für den Abschlussbericht überhaupt keine Frist.

Bei einem schwerwiegenden Sicherheitsvorfall ist der Abschlussbericht binnen eines Monats fällig — gerechnet ab der abgesetzten 72-Stunden-Meldung. Hier hängt die Frist also an einer eigenen Handlung des Herstellers, nicht am Fortschritt der Fehlerbehebung.

Wer beide Fälle über einen Kamm schert, rechnet in einem der beiden falsch. Deshalb zeigt der Meldeassistent beim Abschlussbericht auf dem Schwachstellen-Pfad bewusst keinen Countdown, solange das Datum der Abhilfeverfügbarkeit nicht eingetragen ist, sondern den Hinweis, dass die Frist noch nicht angelaufen ist.

Zwischen den festen Stufen kann das koordinierende CSIRT jederzeit einen Zwischenbericht mit einer Statusaktualisierung anfordern. Diese Anforderung hat keine feste Frist im Verordnungstext, sie kommt aber unangekündigt — wer seinen Stand ohnehin dokumentiert, beantwortet sie in Minuten.

Unabhängig davon sind abgesetzte Meldungen zu aktualisieren, sobald neue Erkenntnisse vorliegen. Eine Meldung ist damit kein einmaliger Vorgang, sondern eine laufende Akte — und genau deshalb erzeugt der Assistent zusätzlich ein Vorgangsprotokoll.