CRA-Meldepflicht-Kit: Vorlagen für Artikel 14

Alles, was vor der ersten Meldung stehen muss, als Vorlage zum Anpassen: Playbook mit Rollen und Ablauf, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Kundeninformation, CVD-Richtlinie, Einstufung und Textbausteine für das Sicherheits-Postfach, Rufkette und Fristenrechner.

Kostenlos. Sechs Word-Vorlagen, zwei Excel-Mappen, ein Handbuch als PDF. Grundlage: Verordnung (EU) 2024/2847, Leitlinie der Kommission C(2026) 5252, ENISA-Unterlagen zur Meldeplattform, BSI TR-03183-3. Stand Oktober 2026. Keine Rechtsberatung.

Drei Seiten aus dem Handbuch des Kits: Deckblatt, Ablaufplan bis zur Frühwarnung und Meldevorlage für die ENISA-Plattform

Was im Kit steckt

Neun Dateien, jede mit einem klaren Zweck. Platzhalter stehen in eckigen Klammern und sind in Word gelb markiert.

WordMelde-PlaybookAblauf von der eingehenden Meldung bis zum Abschlussbericht, Rollen mit Vertretung, Entscheidungshilfen für beide Auslöser, parallele Meldepflichten, Notfallweg und zwei Übungsszenarien.
WordErstbewertung und KenntnisvermerkDas Formular, das festhält, ab wann die Fristen laufen. Die ENISA-Plattform fragt diesen Zeitpunkt bisher nicht ab.
WordMeldevorlagen ENISAAlle Felder der Single Reporting Platform für Frühwarnung, 72-Stunden-Meldung und Abschlussbericht, je für Schwachstelle und Vorfall, mit englischen Textbausteinen.
WordKundeninformationGezielte Information an Betroffene nach Artikel 14 Absatz 8 auf Deutsch und Englisch, dazu die Gliederung des öffentlichen Sicherheitshinweises.
WordCVD-RichtlinieRichtlinie zur koordinierten Offenlegung mit den Mindestinhalten nach BSI TR-03183-3 Abschnitt 4.4, mit Satz zur Prämie und Beispielen für Befunde ohne Nachweis.
WordSicherheits-Postfach und TextbausteineVier Stufen für eingehende Mails, Merkmale von Beg-Bounty- und Massenmails, Eingangsprotokoll und Antworten auf Deutsch und Englisch, auch für Forderungen und Drohungen.
ExcelBereitschaftStammdaten, Rufkette, Konten für die Meldeplattform, Produktliste mit Mitgliedstaaten, kritische Systeme, externe Kontakte, Übungen.
ExcelFristen und FallprotokollRechnet alle Fristen ab Kenntnis, je nach Auslöser, und zeigt, ob fristgerecht eingereicht wurde. Dazu Ereignisprotokoll, Checkliste je Stufe und Nachweis der Nutzerinformation.
PDFHandbuchAlle Vorlagen zum Lesen und Ausdrucken, mit Übersicht und den fünf Schritten zur Einsatzbereitschaft. 30 Seiten.

In fünf Schritten einsatzbereit

Die Meldepflicht gilt seit dem 11. September 2026, auch für Produkte, die schon vorher im Markt waren.

Stammdaten und Rufkette ausfüllenHerstellername wie im Handelsregister, Hauptniederlassung und koordinierendes CSIRT, Rollen mit Mobilnummer und Vertretung.
Zwei Konten für die Meldeplattform einrichtenZwei Personen mit EU-Login und Multi-Faktor-Authentifizierung, eine als Primary, eine als Secondary Assigned Representative.
Produktliste anlegenProdukte, Versionen und die Mitgliedstaaten der Bereitstellung. Diese Angaben verlangt schon die Frühwarnung.
Playbook und Vorlagen anpassenPlatzhalter ersetzen, Stammangaben in die Meldevorlagen eintragen, CVD-Richtlinie veröffentlichen und in der security.txt verlinken.
Einmal übenEin Szenario aus dem Playbook am Tisch durchspielen, ohne echte Meldungen. Was fehlte, kommt in die Mappe.

Häufige Fragen

Was kostet das Kit?

Nichts. Sie erhalten den Download-Link per E-Mail, ohne Vertrag und ohne Abonnement.

Warum nur mit geschäftlicher Adresse?

Das Kit richtet sich an Hersteller. An eine Firmenadresse wissen wir, mit wem wir es zu tun haben, falls Sie Fragen haben. Adressen kostenloser Mail-Dienste und Wegwerf-Adressen nehmen wir deshalb nicht an.

Ersetzt das Kit eine Rechtsberatung?

Nein. Die Vorlagen geben den Stand vom 8. Oktober 2026 wieder und stützen sich auf den Verordnungstext, die Leitlinie der Kommission und die Unterlagen von ENISA und BSI. Sie müssen an Ihr Unternehmen angepasst werden; bei Auslegungsfragen gehört eine Kanzlei dazu.

Was passiert mit meiner Adresse?

Wir schicken Ihnen den Link und erhalten eine Kopie Ihrer Anfrage. Werbemails bekommen Sie nur, wenn Sie das Häkchen setzen und den Link in der Mail bestätigen. Einzelheiten in der Datenschutzerklärung.

Wird das Kit aktualisiert?

Ja, wenn sich die Rechtslage oder die Meldeplattform ändert, zum Beispiel mit dem deutschen Durchführungsgesetz oder einem neuen Release der ENISA-Plattform. Wer das Häkchen setzt, erfährt es per E-Mail.

Was ist der Unterschied zum Dienst von CRA Response Center?

Das Kit beschreibt, was Sie selbst organisieren. Der Dienst übernimmt den Teil, der rund um die Uhr laufen muss: Meldungen annehmen und prüfen, Ihre Rufkette wecken, die Fristen führen, die Meldung auf Englisch vorbereiten und alles protokollieren. Bewertung, Entscheidung und Einreichung bleiben bei Ihnen.