Schwachstelle melden
Alles für die Meldung nach Artikel 14 auf einer Seite: der Weg zur Meldeplattform der ENISA, das zuständige CSIRT für Ihr Land, die Pflichtangaben je Stufe und Ihre Angaben fertig zum Kopieren.
Gemeldet wird ausschließlich über die Plattform der ENISA, von einer Person Ihres Unternehmens. Diese Seite reicht nichts ein. Grundlage: Verordnung (EU) 2024/2847, Artikel 14 und 16, ENISA-Liste der koordinierenden CSIRTs vom 10. September 2026. Keine Rechtsberatung.
Sie haben eine Lücke in einem Produkt gefunden und sind nicht der Hersteller? Dann melden Sie sie dem Hersteller, etwa über dessen security.txt, oder dem CSIRT Ihres Landes aus der Liste unten. Eine Lücke bei uns melden Sie über unseren Sicherheitskontakt.
Jetzt melden
- Kenntniszeitpunkt festhaltenAb ihm laufen 24 Stunden für die Frühwarnung und 72 Stunden für die Meldung. Die Plattform fragt ihn derzeit nicht ab, belegen müssen Sie ihn selbst.
- Mit persönlichem EU-Login anmeldenMelden darf nur ein registrierter Assigned Representative Ihres Unternehmens, mit Multi-Faktor-Authentifizierung.
- Frühwarnung einreichenDas CSIRT haben Sie bei der Registrierung gewählt. Die Meldung geht gleichzeitig an dieses CSIRT und an die ENISA.
Plattform nicht erreichbar? Laut ENISA (FAQ Nummer 25) warten Sie, bis sie wieder läuft, und reichen dann ein. Halten Sie eine sofortige Mitteilung für nötig, dürfen Sie vorher Ihr CSIRT direkt kontaktieren. Die Meldung über die Plattform ersetzt das nicht. Den Ausfall mit Uhrzeit und Bildschirmfoto festhalten.
Ihr zuständiges CSIRT
Ein CSIRT ist das Notfallteam eines Staates für IT-Sicherheit. Zuständig ist das CSIRT des Mitgliedstaats, in dem Ihre Hauptniederlassung liegt: dort, wo die Entscheidungen zur Cybersicherheit Ihrer Produkte überwiegend getroffen werden, sonst der Staat mit den meisten Beschäftigten in der EU (Artikel 14 Absatz 7). Dieses CSIRT wählen Sie bei der Registrierung auf der Plattform; eine falsche Wahl kann die Meldung ungültig machen.
| Mitgliedstaat | Koordinierendes CSIRT, Kontaktseite laut ENISA |
|---|---|
| Belgien | ccb.belgium.be |
| Bulgarien | govcert.bg |
| Dänemark | fe-ddis.dk |
| Deutschland | CERT-Bund im BSI: bsi.bund.de/CERT-Bund |
| Estland | ria.ee |
| Finnland | kyberturvallisuuskeskus.fi |
| Frankreich | cert.ssi.gouv.fr |
| Griechenland | cyber.gov.gr |
| Irland | ncsc.gov.ie |
| Italien | acn.gov.it |
| Kroatien | ncsc.hr |
| Lettland | cert.lv |
| Litauen | nksc.lt |
| Luxemburg | circl.lu |
| Malta | mita.gov.mt |
| Niederlande | ncsc.nl |
| Österreich | CERT.at: cert.at |
| Polen | cert.pl |
| Portugal | cncs.gov.pt |
| Rumänien | dnsc.ro |
| Schweden | cert.se |
| Slowakei | sk-cert.sk |
| Slowenien | cert.si |
| Spanien | incibe.es |
| Tschechien | nukib.gov.cz |
| Ungarn | ncsc.gov.hu |
| Zypern | csirt.cy |
Ohne Niederlassung in der EU, etwa aus der Schweiz: Maßgeblich ist dann der Mitgliedstaat Ihres Bevollmächtigten, sonst des Einführers, sonst des Händlers, sonst der Mitgliedstaat mit den meisten Nutzern Ihres Produkts, in dieser Reihenfolge (Artikel 14 Absatz 7). Die Kontaktseiten der CSIRTs nennt die Liste der ENISA; sie gelten für Rückfragen, nicht als Meldeweg. Mehr im Leitfaden CERT-Bund, BSI, ENISA.
Was in welche Stufe gehört
Jede Stufe hat ihre Mindestangaben aus Artikel 14. Was schon eingereicht ist, müssen Sie nicht wiederholen. Welche Felder die Plattform dafür im Einzelnen hat, zeigt die Feldtabelle im Leitfaden zur Meldeplattform.
Aktiv ausgenutzte Schwachstelle (Absatz 2)
- Frühwarnung, 24 Stunden nach KenntnisDass eine aktiv ausgenutzte Schwachstelle vorliegt und in welchen Mitgliedstaaten das Produkt Ihrer Kenntnis nach bereitgestellt wurde.
- Meldung, 72 Stunden nach KenntnisSoweit verfügbar: allgemeine Angaben zum Produkt, zur Art der Ausnutzung und der Schwachstelle, ergriffene Korrektur- oder Risikominderungsmaßnahmen, Maßnahmen, die Nutzer ergreifen können, und gegebenenfalls, wie sensibel Sie die Angaben einschätzen.
- Abschlussbericht, 14 Tage nach verfügbarer AbhilfeBeschreibung der Schwachstelle mit Schweregrad und Auswirkungen, falls verfügbar Angaben zum böswilligen Akteur, Angaben zum Sicherheitsupdate oder zu anderen Korrekturmaßnahmen.
Schwerwiegender Sicherheitsvorfall (Absatz 4)
- Frühwarnung, 24 Stunden nach KenntnisZumindest, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht, gegebenenfalls auch die Mitgliedstaaten, in denen das Produkt bereitgestellt wurde.
- Meldung, 72 Stunden nach KenntnisSoweit verfügbar: Art des Vorfalls, eine erste Bewertung, ergriffene Korrektur- oder Risikominderungsmaßnahmen, Maßnahmen, die Nutzer ergreifen können, und gegebenenfalls, wie sensibel Sie die Angaben einschätzen.
- Abschlussbericht, einen Monat nach der MeldungAusführliche Beschreibung mit Schweregrad und Auswirkungen, die wahrscheinliche Art der Bedrohung oder Ursache, getroffene und laufende Abhilfemaßnahmen.
Fristen für Ihren Fall rechnet der Fristen-Rechner. Wann Kenntnis vorliegt, erklärt der Leitfaden Ab wann läuft die 24-Stunden-Frist?, die Inhalte der drei Stufen ausführlich der Leitfaden Frühwarnung, Meldung, Abschlussbericht. Die betroffenen Nutzer informieren Sie zusätzlich selbst (Artikel 14 Absatz 8).
Angaben für die Frühwarnung zum Kopieren
Die Plattform ist nur auf Englisch. Tragen Sie hier ein, was Sie wissen; die Seite stellt daraus die Pflichtangaben der Frühwarnung auf Englisch zusammen, jedes Feld mit eigenem Knopf zum Kopieren. Alles bleibt in Ihrem Browser, nichts wird gesendet oder gespeichert.
Frühwarnung, englisch
Feldnamen sinngemäß, die Plattform kann sie anders beschriften. Lesen Sie jeden Text vor dem Einreichen; die Vorschläge sind unverbindlich und ersetzen keine Prüfung.
Damit die 24 Stunden nicht erst am Montag beginnen.
CRA Response Center liest Ihr Security-Postfach mit, stuft Meldungen mit einer KI in Deutschland ein, ohne OpenAI und Co., und benachrichtigt Ihre Leute per SMS und E-Mail. Kenntniszeitpunkt, Fristen und Frühwarnung hält es im Protokoll fest. Melden tun Sie selbst. 190 Euro im Monat je Domain inklusive Mehrwertsteuer, 30 Tage kostenlos testen.