CRA Response Center Demo anfragen

Aktuelles

ENISA veröffentlicht die Liste der koordinierenden CSIRTs: CERT-Bund für Deutschland, CERT.at für Österreich

Am 4. September 2026 hat die ENISA erstmals die Liste der "CSIRTs Designated as Coordinators" für alle 27 Mitgliedstaaten veröffentlicht, Stand 10. September 2026. Damit ist klar, welche Stelle bei der Registrierung im Meldeportal auszuwählen ist. Für Deutschland ist es CERT-Bund, für Österreich CERT.at.

Die ENISA hat am 4. September 2026 eine Liste der koordinierenden CSIRTs für alle 27 Mitgliedstaaten veröffentlicht, aktueller Stand 10. September 2026. Ein CSIRT ist ein staatliches Reaktionsteam für Sicherheitsvorfälle; das koordinierende CSIRT ist die Stelle, die nach Artikel 14 der Verordnung (EU) 2024/2847 die Meldungen der Hersteller entgegennimmt und an andere betroffene CSIRTs weiterverteilt. Für Deutschland nennt die Liste CERT-Bund, das beim BSI angesiedelt ist. Für Österreich nennt sie CERT.at. Bis dahin war die förmliche Benennung eine offene Frage: Noch Ende August 2026 schrieb eine deutsche Kanzlei, die Benennung durch die Mitgliedstaaten stehe aus. Das BSI hatte CERT-Bund zum Start der Meldepflicht am 11. September 2026 bereits als zuständig behandelt. Die ENISA-Liste bestätigt das.

Was es für Hersteller bedeutet

Die Liste beantwortet eine Frage, die bei der Registrierung im Meldeportal, der Single Reporting Platform (SRP), konkret gestellt wird. Dort legt die Person, die für den Hersteller meldet (im Portal "Assigned Representative"), bei der Registrierung das zuständige koordinierende CSIRT fest. Maßgeblich ist nach Artikel 14 Absatz 7 der Mitgliedstaat der Hauptniederlassung, also der Ort, an dem die Entscheidungen zur Cybersicherheit des Produkts überwiegend getroffen werden. Praktisch heißt das:

  • Hersteller mit Hauptsitz in Deutschland wählen Deutschland und damit CERT-Bund. Das BSI schreibt das auf seiner Seite zur Plattform ausdrücklich so.
  • Hersteller mit Hauptsitz in Österreich wählen Österreich und damit CERT.at. Die Wirtschaftskammer Österreich bestätigt mit Stand 28. September 2026, dass die Meldung automatisch an CERT.at und an die ENISA weitergeleitet wird. Einzelne Beiträge nannten für Österreich das Bundeskanzleramt als Empfänger; das widerspricht der ENISA-Liste.
  • Hersteller ohne Niederlassung in der EU, etwa aus der Schweiz, finden sich nicht auf der Liste. Sie melden an das CSIRT des Mitgliedstaats, der sich nach Artikel 14 Absatz 7 ergibt. Fehlt eine Hauptniederlassung in der EU, nennt der Absatz in dieser Reihenfolge den Sitz des Bevollmächtigten, des Einführers, des Händlers oder der Nutzer.

Die Meldung geht nach Absenden gleichzeitig an das gewählte CSIRT und an die ENISA. Das CSIRT prüft nach der Registrierung, ob die meldende Person zum angegebenen Hersteller gehört; die Dauer dieser Prüfung liegt laut ENISA-FAQ beim jeweiligen CSIRT. Für CERT-Bund gibt es dazu keine veröffentlichte Angabe; der einzige öffentliche Praxisbericht stammt aus Belgien und nennt drei Werktage. Vor Abschluss der Prüfung sind laut diesem Bericht bis zu 20 Meldungen möglich. Wer die Registrierung erst im Ernstfall beginnt, verliert deshalb nicht die Meldemöglichkeit, aber Zeit und Ruhe. Die Schritte der Registrierung beschreibt der Leitfaden ENISA Single Reporting Platform: Registrierung und Meldung Schritt für Schritt; wie CERT-Bund, BSI und ENISA zusammenwirken, erklärt der Leitfaden CERT-Bund, BSI, ENISA: Wer CRA-Meldungen entgegennimmt.

Für die Bereitschaft heißt das: Der Zugang zum Portal sollte registriert, geprüft und mit einer Vertretung hinterlegt sein, bevor die erste Meldung ansteht. CRA Response Center begleitet die Registrierung mit dem richtigen CSIRT und hält die benannten Personen und die Vertretungsregel im Bereitschaftsplan fest; die Konten bleiben persönlich, die Meldung selbst gibt der Hersteller ab.

Was offen bleibt

Die Liste klärt die Zuständigkeit, nicht die Rechtsgrundlage in Deutschland: Die Aufgabe von CERT-Bund als CSIRT nach der Verordnung soll im Durchführungsgesetz (BT-Drs. 21/6134) geregelt werden, das noch nicht verkündet ist. Für Österreich ist die Marktüberwachung noch nicht festgelegt; die notifizierende Behörde liegt im Bundeskanzleramt. Für Hersteller aus Drittstaaten steht die Reihenfolge Bevollmächtigter, Einführer, Händler, Nutzer zwar in Artikel 14 Absatz 7; wie die Plattform diesen Fall bei der Registrierung behandelt, haben wir in den Unterlagen der ENISA nicht gefunden. Wie lange CERT-Bund für die Prüfung einer Registrierung braucht, ist nirgends veröffentlicht. Mehr zu den Nachbarländern im Leitfaden CRA in Österreich und der Schweiz.

Quellen

Die Meldepflicht läuft. Wer nimmt bei Ihnen nachts ab?

CRA Response Center nimmt Schwachstellen-Meldungen an, prüft sie, weckt Ihre Rufkette und führt die Fristen-Uhren. Ab 190 Euro im Monat, Einrichtung zum Festpreis.

Demo anfragen