Kenntnis (Fristbeginn)
Alle drei Fristen der Meldepflicht laufen "nachdem der Hersteller davon Kenntnis erlangt hat". Wann das ist, sagt die Verordnung nicht, aber die Kommissionsleitlinie: nach einer sofortigen Erstbewertung mit hinreichender Gewissheit. Den Zeitpunkt muss der Hersteller selbst festhalten.
Kenntnis ist der Zeitpunkt, ab dem die Meldefristen nach Artikel 14 laufen. Sie liegt vor, wenn der Hersteller nach einer Erstbewertung mit hinreichender Gewissheit weiß, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird oder ein schwerwiegender Sicherheitsvorfall eingetreten ist.
Definition in der Verordnung
Der Begriff wird in der Verordnung nicht eigens definiert. Artikel 14 Absatz 2 und Absatz 4 der Verordnung (EU) 2024/2847 lassen die Fristen laufen, "nachdem der Hersteller davon Kenntnis erlangt hat". Die Kommissionsleitlinie C(2026) 5252 legt in Randnummer 213 aus: Entdeckt der Hersteller ein verdächtiges Ereignis oder weist ihn ein Kunde, eine Behörde oder ein Medium darauf hin, soll er es sofort bewerten. Kenntnis liegt vor, wenn er nach dieser Erstbewertung mit hinreichender Gewissheit ("reasonable degree of certainty") weiß, dass die Schwachstelle in seinem Produkt aktiv ausgenutzt wird oder ein schwerwiegender Vorfall die Produktsicherheit beeinträchtigt hat. Die Auslegung ist nach Randnummer 212 bewusst an NIS2 und DSGVO angeglichen. Nach Randnummer 217 gibt es keine Rückwirkung: Ausnutzungen, die vor dem 11. September 2026 bekannt waren, sind nicht nachzumelden.
Was das für Hersteller bedeutet
Die Uhr startet nicht mit dem Eingang einer Meldung und nicht erst mit der vollständigen Ursachenanalyse, sondern dazwischen. Die Erstbewertung muss sofort beginnen; wer sie liegen lässt, verschiebt die Kenntnis nicht glaubwürdig. Auch eine ungelesene Mail schützt nur bedingt: Die Leitlinie gleicht den Begriff an das Datenschutzrecht an, und dort wird verspätete Kenntnis aus fehlender Organisation auf den Zeitpunkt vorverlegt, zu dem sie bei ordentlichem Ablauf eingetreten wäre. Die Meldeplattform der ENISA erfasst im laufenden Release nur den Erkennungszeitpunkt; ein Pflichtfeld für den Kenntniszeitpunkt führt das SRP-Glossar (Stand 1. Oktober 2026) für Vorfälle, für Schwachstellen ist es für das nächste Release angekündigt. Der Zähler der Plattform zeigt die 72-Stunden-Frist derzeit 48 Stunden nach Absenden der Frühwarnung als fällig an (ENISA-FAQ, Stand 3. Oktober 2026). Deshalb braucht jeder Hersteller ein eigenes Protokoll mit vier Zeitstempeln: erste Beobachtung, Abschluss der Erstbewertung, interne Eskalation, Einreichung. Diese Zeitstempel sind später der Nachweis gegenüber der Marktüberwachung.
Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordernVerwandte Begriffe
- Frühwarnung
- Aktiv ausgenutzte Schwachstelle
- Schwachstellenmeldung (72-Stunden-Meldung)
- Single Reporting Platform (SRP)