Als Hersteller eines kommerziellen WordPress-Plugins bin ich ab dem 11.09.2026 verpflichtet, zu Sicherheitsvorfällen im Zusammenhang mit dieser Software eine Meldung bei der ENISA abzugeben.
Für meine kostenlosen WordPress-Plugins gilt das nicht.
Das liegt am Cyber Resilience Act (CRA), dabei gilt für die Meldung: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht nach 14 Tagen (Schwachstellen) bzw. einem Monat (Vorfälle). Mehr zum CRA hier.
Mit Start dieser Meldepflicht wurde die CRA Single Reporting Platform der ENISA unter https://portal.cra-srp.enisa.europa.eu/ veröffentlicht.
Hier beschreibe ich, wie die Registrierung ablief – Stand 11.09.2026:
- Schritt 1: Welche Rolle habe ich beim CRA?
- Schritt 2: Wer ist für mich zuständig?
- Schritt 3: Login?
- Schritt 4: Registrieren!
- Schritt 5: Multi-Faktor-Authentifizierung aktivieren (MFA)
- Schritt 6: Login in die “CRA Single Reporting Platform”
- Schritt 7: Schwachstellenmeldung – was fragt der Fragebogen ab? PDF des Fragebogens
Schritt 1: Welche Rolle habe ich beim CRA?
Auf https://portal.cra-srp.enisa.europa.eu hast Du die Wahl:
Assigned Representative (AR): Die Person, die im Auftrag eines Herstellers (künftig auch eines Open-Source-Stewards) Meldungen zu aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen nach Art. 14 CRA einreicht. Pro Hersteller gibt es einen Primary AR und bis zu 20 Secondary ARs. Der Primary AR muss eine bestätigte Verknüpfung mit dem Hersteller haben, bevor er weitere Personen einladen kann. Wichtig: Das ist eine Plattform-Kontrolle, nicht der Bevollmächtigte („authorised representative”) nach Art. 18 CRA – beides sollte man nicht verwechseln.
CSIRT Representative: Die Empfängerseite – Mitarbeitende des als Koordinator benannten CSIRT, die Meldungen sichten, weiterleiten und AR-Verknüpfungen validieren. D. h. für Deutschland das BSI.
Schritt 2: Wer ist für mich zuständig?
Das richtet sich grundsätzlich nach der Hauptniederlassung des Herstellers in der EU; für Hersteller ohne EU-Niederlassung gelten die Kriterien des Art. 14 Abs. 7 CRA.
Für mich Deutschland.
Schritt 3: Login?
Wenn Du bereits einen “EU Login” hast, kannst Du gleich durchstarten. Wenn nicht, musst Du dich registrieren.
Schritt 4: Registrieren!
Für einen neuen EU-Login ist eine (ggf. eine eigens dafür angelegte) Mailadresse und ein Handy nötig.
Gib Name, Vorname und E-Mail ein und schick das Formular ab.
Die Website bestätigt die Anmeldung und kündigt eine E-Mail an.
In der E-Mail den Link anklicken.
Wähle ein neues Passwort: Gleich in einem Passwortmanager sichern!
Schritt 5: Multi-Faktor-Authentifizierung aktivieren (MFA)
Nur Nutzername / E-Mail und Passwort sind zu wenig für einen sicheren Zugang zu einem Loginbereich.
Du musst nicht nur etwas wissen, sondern auch etwas haben, das ist das Prinzip der Multi-Faktor-Authentifizierung.
Das Enisa-Portal bietet dafür mehrere Verfahren. Ich habe die “EU Login-App mit QR-Code” gewählt.
Ablauf: Gerät im EU-Login-Portal anlegen → App installieren → QR-Code scannen
Screenshot nach der Auswahl von “EU Login-App mit QR-Code”
Ok, bisher ist noch kein Mobilfunkgerät registriert – woher auch.
Screenshot nach der Auswahl von “EU Login-App mit QR-Code”:
Nutzen von “EU Login”, was ohne MFA möglich ist.
Auf dem EU Portal kannst Du ein Mobilfunkgerät registrieren: Klick auf “Meine Mobilgeräte verwalten”
“Meine Mobilgeräte verwalten” für “Mobilgerät hinzufügen”
“Mobilgerät hinzufügen”: Das Gerät sinnvoll benennen und einen vierstelligen PIN-Code festlegen.
Auf dem Mobilgerät (hier ein iPhone) die “EU Login”-App laden und starten.
“EU Login”-App nach dem Scan des QR-Codes von der EU-Website.
Schritt 6: Login in die “CRA Single Reporting Platform”
Erfolgreicher Erstlogin in das ENISA-Portal: Name und Vorname prüfen, ggf. ergänzende Informationen (unklar für was) hinzufügen.
Bestätigung der erfolgreichen ENISA-Registrierung
Schritt 7: Schwachstellenmeldung – was fragt der Fragebogen ab?
Übersicht im ENISA-Portal
Nach dem Login landet man in der Übersicht des Portals. Dort gibt es den Button “Submit new notification”. Ein Klick darauf öffnet den Fragebogen, mit dem man eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall meldet.
Wichtig vorab: Nicht jeder Bug muss gemeldet werden. Meldepflichtig sind nur Schwachstellen, die nachweislich aktiv ausgenutzt werden, und Vorfälle, die die Sicherheit des Produkts erheblich beeinträchtigen. Ein theoretisches Sicherheitsproblem, das noch niemand ausnutzt, gehört (noch) nicht hierher – aber natürlich trotzdem schnell gefixt.
Die Meldung läuft in drei Stufen
Der Fragebogen ist so aufgebaut, dass er zur gesetzlichen Frist passt. Man füllt nicht alles auf einmal aus, sondern baut die Meldung schrittweise auf:
- Frühwarnung (innerhalb von 24 Stunden) nachdem man von der Ausnutzung erfahren hat. Hier reichen die Eckdaten: Art der Meldung (Schwachstelle oder Vorfall), betroffenes Produkt, Hersteller, ein Titel – und falls schon bekannt, in welchen EU-Ländern das Produkt verfügbar ist. Der Rest ist optional.
- Meldung (innerhalb von 72 Stunden): Jetzt kommt der technische Inhalt dazu – Art der Schwachstelle, wie sie ausgenutzt wird, welche Gegenmaßnahmen man selbst ergriffen hat und was die Nutzer tun sollten.
- Abschlussbericht: Bei Schwachstellen spätestens 14 Tage, nachdem ein Fix verfügbar ist; bei Vorfällen einen Monat nach der 72-Stunden-Meldung.
Die Fristen laufen parallel ab dem Zeitpunkt, an dem man von der Ausnutzung erfährt. Die 24 Stunden sind also nicht viel – deshalb lohnt es sich, den Fragebogen jetzt in Ruhe anzuschauen und nicht erst im Ernstfall.
Was wird abgefragt?
Der Fragebogen hat mehr als 20 Felder: Von allgemeinen (Produkt, Hersteller, Kontaktdaten, betroffene Versionen, Länder) bis zu den Details der Schwachstelle bzw. des Vorfalles. Ggf. sind Felder Pflicht oder optional bzw. als “falls bekannt” wählbar. Das Portal trägt Zeitstempel und meldende Person automatisch ein.
Damit man das nicht erst unter Zeitdruck entdeckt, habe ich den kompletten Fragebogen als PDF exportiert, Download-Link siehe links.
