CSIRT-Koordinator
Jeder Hersteller meldet an genau ein CSIRT: das seines Mitgliedstaats der Hauptniederlassung. Artikel 14 Absatz 7 nennt es das als Koordinator benannte CSIRT. Die ENISA führt die Liste, für Deutschland steht dort das CERT-Bund.
CSIRT-Koordinator (CSIRT Designated as Coordinator, CDaC) ist das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Es empfängt die Meldung nach Artikel 14 und verteilt sie an die anderen betroffenen CSIRTs.
Definition in der Verordnung
Artikel 3 Nummer 51 der Verordnung (EU) 2024/2847 verweist für das als Koordinator benannte CSIRT auf Artikel 12 Absatz 1 der Richtlinie (EU) 2022/2555. Artikel 14 Absatz 7 bestimmt das zuständige CSIRT: Es ist das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Das ist der Staat, "in dem die Entscheidungen im Zusammenhang mit der Cybersicherheit seiner Produkte mit digitalen Elementen überwiegend getroffen werden", hilfsweise der Staat mit der höchsten Beschäftigtenzahl in der Union. Hat der Hersteller keine Niederlassung in der EU, gilt die Reihenfolge Bevollmächtigter, Einführer, Händler, Nutzer. Nach Artikel 16 Absatz 2 leitet der Koordinator die Meldung an die CSIRTs der Staaten weiter, in denen das Produkt bereitgestellt wurde. Aus Cybersicherheitsgründen darf er die Weitergabe verzögern; die Bedingungen regelt die Delegierte Verordnung (EU) 2026/881.
Was das für Hersteller bedeutet
Die ENISA führt die Liste der Koordinatoren für alle 27 Mitgliedstaaten (Stand 10. September 2026): für Deutschland das CERT-Bund im BSI, für Österreich CERT.at. Bei der Registrierung auf der Meldeplattform wählt der Hersteller seinen Koordinator aus einer Liste; die Plattform prüft die Wahl nicht. Wählt er das falsche CSIRT, kann die Meldung für ungültig erklärt werden und muss neu eingereicht werden. Bei Unternehmensgruppen mit mehreren Standorten lohnt es sich, vorher festzuhalten, wo die Cybersicherheitsentscheidungen für das Produkt fallen. Hersteller aus der Schweiz ohne EU-Niederlassung melden an das CSIRT des Mitgliedstaats, in dem ihr Bevollmächtigter niedergelassen ist; ohne Bevollmächtigten gilt die weitere Reihenfolge aus Artikel 14 Absatz 7.
Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordern