CSIRT-Koordinator
Jeder Hersteller meldet an genau ein CSIRT: das seines Mitgliedstaats der Hauptniederlassung. Artikel 14 Absatz 7 nennt es das als Koordinator benannte CSIRT. Die ENISA führt die Liste, für Deutschland steht dort das CERT-Bund.
CSIRT-Koordinator (CSIRT Designated as Coordinator, CDaC) ist das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Es empfängt die Meldung nach Artikel 14 und verteilt sie an die anderen betroffenen CSIRTs.
Definition in der Verordnung
Artikel 14 Absatz 7 der Verordnung (EU) 2024/2847 bestimmt das zuständige CSIRT: Es ist das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Das ist der Staat, "in dem die Entscheidungen im Zusammenhang mit der Cybersicherheit seiner Produkte mit digitalen Elementen überwiegend getroffen werden", hilfsweise der Staat mit der höchsten Beschäftigtenzahl in der Union. Hat der Hersteller keine Niederlassung in der EU, gilt die Reihenfolge Bevollmächtigter, Einführer, Händler, Nutzer. Nach Artikel 16 Absatz 2 leitet der Koordinator die Meldung an die CSIRTs der Staaten weiter, in denen das Produkt bereitgestellt wurde. Aus Cybersicherheitsgründen darf er die Weitergabe verzögern; die Bedingungen regelt die Delegierte Verordnung (EU) 2026/881.
Was das für Hersteller bedeutet
Die ENISA hat am 4. September 2026 die Liste der Koordinatoren für alle 27 Mitgliedstaaten veröffentlicht: für Deutschland das CERT-Bund im BSI, für Österreich CERT.at. Bei der Registrierung auf der Meldeplattform wählt der Hersteller seinen Koordinator aus einer Liste; die Plattform prüft die Wahl nicht. Wählt er das falsche CSIRT, kann die Meldung für ungültig erklärt werden und muss neu eingereicht werden. Bei Unternehmensgruppen mit mehreren Standorten lohnt es sich, vorher festzuhalten, wo die Cybersicherheitsentscheidungen für das Produkt fallen. Hersteller aus der Schweiz ohne EU-Niederlassung melden über den Bevollmächtigten.