ENISA-FAQ vom 3. Oktober 2026: Der 72-Stunden-Zähler im Portal zeigt 48 Stunden
ENISA hat die Fragen und Antworten zur Single Reporting Platform am 3. Oktober 2026 aktualisiert. Darin steht, dass der Zähler im Portal die Fälligkeit der Schwachstellenmeldung 48 Stunden nach der Frühwarnung anzeigt. Die Verordnung rechnet anders. Hersteller müssen den Kenntniszeitpunkt deshalb selbst festhalten.
Am 3. Oktober 2026 hat die ENISA ihre Fragen und Antworten zur Single Reporting Platform (SRP) aktualisiert, dem Meldeportal, über das Hersteller seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Unter Frage 26 bestätigt die ENISA: Der Zähler für die Schwachstellenmeldung zeigt eine Fälligkeit 48 Stunden nach dem Absenden der Frühwarnung an. Das Feld "Date/Time when you became aware", also der Zeitpunkt, zu dem der Hersteller Kenntnis erlangt hat, wird erst in einer künftigen Version des Portals zur Berechnung der Frist herangezogen. Einen Termin dafür nennt die ENISA nicht.
Die Verordnung (EU) 2024/2847 rechnet anders als das Portal. Nach Artikel 14 Absatz 2 läuft die Frist für die Frühwarnung 24 Stunden ab Kenntnis, die Frist für die Schwachstellenmeldung 72 Stunden ab Kenntnis. Beide Uhren starten also zum selben Zeitpunkt. Das Portal startet die zweite Uhr dagegen erst, wenn die erste Meldung abgeschickt ist. Wer die Frühwarnung früh absetzt, etwa nach sechs Stunden, sieht im Portal eine Fälligkeit nach 54 Stunden, obwohl die Verordnung 72 Stunden einräumt. Wer die Frühwarnung erst kurz vor Ablauf der 24 Stunden absetzt, sieht im Portal eine Fälligkeit, die der gesetzlichen fast entspricht. In keinem Fall ist die Anzeige im Portal der Maßstab.
Was es für Hersteller bedeutet
Der Kenntniszeitpunkt ist der Ankerpunkt für alle Fristen, und das Portal fragt ihn für aktiv ausgenutzte Schwachstellen derzeit nicht ab. Nach der Zusammenfassung der FAQ-Änderungen vom 12. September 2026 ist das Feld für die nächste Version vorgesehen. Bis dahin liegt die Verantwortung für die Zeitrechnung allein beim Hersteller. Drei Dinge folgen daraus:
- Kenntniszeitpunkt selbst dokumentieren. Die Leitlinie der Kommission C(2026) 5252 vom 27. Juli 2026 stellt für den Begriff "Kenntnis" auf den Abschluss einer ersten Bewertung mit hinreichender Gewissheit ab, nicht auf den Eingang einer Mail. Wann diese Bewertung abgeschlossen war, gehört mit Datum, Uhrzeit und Namen ins eigene Protokoll. Mehr dazu im Leitfaden Ab wann läuft die 24-Stunden-Frist?.
- Fristen außerhalb des Portals führen. Der Zähler im Portal ist derzeit ein Hinweis, keine Fristenkontrolle. Die 72 Stunden rechnet der Hersteller selbst ab Kenntnis, zum Beispiel mit dem Fristen-Rechner auf der Seite zur Meldepflicht.
- Frühwarnung nicht aufschieben. Es wäre ein Fehler, die Frühwarnung erst spät abzusetzen, damit der Portal-Zähler günstiger aussieht. Artikel 14 Absatz 2 verlangt die Frühwarnung "unverzüglich", spätestens nach 24 Stunden. Die Anzeige im Portal ändert daran nichts.
Die drei Meldestufen, ihre Inhalte und ihre Fristen beschreibt der Leitfaden Frühwarnung, Meldung, Abschlussbericht. Die FAQ bestätigt außerdem drei weitere Punkte, die seit dem Start gelten. Es gibt keine Programmierschnittstelle. Die Oberfläche und die Meldungen sind auf Englisch. Und freiwillige Meldungen nach Artikel 15 sind im Portal noch nicht umgesetzt.
Für die Bereitschaft heißt das: Das Protokoll, das den Kenntniszeitpunkt festhält, ist derzeit der einzige verlässliche Beleg für die Fristen. CRA Response Center führt dieses Protokoll ab dem Eingang einer Meldung und rechnet die Fristen-Uhren ab Kenntnis, unabhängig davon, was das Portal anzeigt.
Was offen bleibt
Die ENISA nennt keinen Termin für die neue Version des Portals. Ob das Feld zum Kenntniszeitpunkt für Vorfallmeldungen bereits vorhanden ist, ließ sich nicht prüfen. Unklar ist auch, wie koordinierende CSIRTs und später die Marktüberwachung mit Fällen umgehen, in denen Portal-Anzeige und gesetzliche Frist auseinanderfallen. Eine behördliche Aussage dazu gibt es nicht. Wer den eigenen Kenntniszeitpunkt sauber belegen kann, ist auf beide Lesarten vorbereitet.
Quellen
- Single Reporting Platform: Frequently Asked Questions, ENISA, Stand 3. Oktober 2026
- Single Reporting Platform (SRP), Übersichtsseite, ENISA, Stand Oktober 2026
- ENISA SRP FAQ update, 12 September 2026, cyberresilienceact.eu, 12. September 2026
- Commission CRA application guidance published, cyberresilienceact.eu, 27. Juli 2026
- The CRA Single Reporting Platform is launched, ENISA, 11. September 2026