Cyber Resilience Act Response Center Demo anfragen

Leitfaden Stand Lesezeit 14 Min.

Ab wann läuft die 24-Stunden-Frist? Kenntnis nach Artikel 14 CRA

Alle Fristen des Artikels 14 laufen ab dem Zeitpunkt, an dem der Hersteller Kenntnis erlangt. Die Verordnung definiert diesen Moment nicht, die Leitlinie der Kommission schon. Diese Seite erklärt die Auslegung, die Abgrenzung zum Eingang und zum Lesen einer Meldung, was nachts und am Wochenende gilt und wie Sie den Zeitpunkt so festhalten, dass er später standhält.

Die 24-Stunden-Frist für die Frühwarnung beginnt nach Artikel 14 Absatz 2 und 4 der Verordnung (EU) 2024/2847, "nachdem der Hersteller davon Kenntnis erlangt hat", und nicht, wenn eine E-Mail im Postfach liegt. Kenntnis liegt nach der Leitlinie der Kommission C(2026) 5252 vor, wenn der Hersteller nach einer ersten Bewertung mit hinreichender Gewissheit weiß, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird oder ein schwerwiegender Vorfall die Sicherheit des Produkts beeinträchtigt hat. Die Erstbewertung muss sofort beginnen. Weil die ENISA-Plattform den Zeitpunkt bisher weder eindeutig abfragt noch für ihre Fristenzähler nutzt, müssen Hersteller ihn selbst dokumentieren, mit Beleg.

Das Wichtigste

  • Fristbeginn ist die Kenntnis, nicht der Eingang einer Meldung (Artikel 14 Absatz 2 und 4).
  • Kenntnis heißt nach Randnummer 213 der Kommissionsleitlinie: Erstbewertung abgeschlossen, "reasonable degree of certainty", dass das eigene Produkt aktiv ausgenutzt wird.
  • Die Erstbewertung beginnt "immediately". Eine absichtliche Verzögerung verschiebt den Fristbeginn nicht glaubwürdig.
  • Ausnutzungen, von denen der Hersteller vor dem 11. September 2026 wusste, sind nicht nachzumelden (Randnummer 217).
  • Vier Zeitstempel festhalten: erste Beobachtung, Kenntnis, Eskalation, Einreichung. Ein Feld für die Kenntnis hat die Plattform bisher nur bei Vorfällen (im laufenden Release noch als Erkennungszeitpunkt beschriftet), für Schwachstellen erst im nächsten Release; die Fristenzähler nutzen es noch nicht.

Was die Verordnung sagt

Artikel 14 Absatz 1 verpflichtet Hersteller, jede aktiv ausgenutzte Schwachstelle zu melden, "von der er Kenntnis erlangt". Absatz 2 setzt die Fristen von 24 und 72 Stunden, jeweils "nachdem der Hersteller davon Kenntnis erlangt hat"; Absatz 4 regelt dasselbe für den schwerwiegenden Sicherheitsvorfall. Was "Kenntnis" ist, sagt die Verordnung nicht. Sie definiert aber in Artikel 3 Nummer 42, wovon Kenntnis bestehen muss:

"aktiv ausgenutzte Schwachstelle" eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat

Artikel 3 Nummer 42 CRA

Kenntnis setzt also "verlässliche Nachweise" voraus; ein Verdacht, ein Scanner-Fund oder ein Eintrag in der öffentlichen Schwachstellendatenbank CVE sind das nicht. Zugleich verlangt die Definition keine vollständige Aufklärung: Es reicht, dass die Ausnutzung in einem einzigen System belegt ist. Was als Auslöser zählt, behandelt der Leitfaden Aktiv ausgenutzte Schwachstelle.

Was die Leitlinie der Kommission unter Kenntnis versteht

Die Leitlinie C(2026) 5252 vom 27. Juli 2026 ist rechtlich unverbindlich, aber die einzige Auslegung, die es gibt, und sie liegt nur auf Englisch vor. Randnummer 213 beschreibt den Moment. Entdeckt der Hersteller ein verdächtiges Ereignis oder weist ihn ein Dritter darauf hin, gilt: "the manufacturer should assess the suspicious event immediately". Kenntnis liegt danach vor

"when, after such an initial assessment, it has a reasonable degree of certainty that: (i) a vulnerability contained in its product with digital elements is being actively exploited; or (ii) a severe incident has occurred and has led to the security of its product with digital elements being compromised".

Leitlinie C(2026) 5252, Anhang, Randnummer 213

Drei Dinge folgen daraus. Ein Hinweis, gleich ob von Kunde, Forscher, Behörde oder aus den Medien, ist zunächst ein "suspicious event", kein Fristbeginn. Die Erstbewertung muss "immediately" beginnen; Randnummer 214 betont "prompt action", besonders bei hohem Risiko. Und die Schwelle ist "reasonable degree of certainty", nicht Gewissheit: Wer auf die fertige Ursachenanalyse wartet, hat die Kenntnis längst.

Randnummer 212 gleicht die Auslegung bewusst an den Kenntnisbegriff der Durchführungsverordnung (EU) 2024/2690 zur NIS2-Richtlinie (der EU-Richtlinie zur Netz- und Informationssicherheit) und an die Leitlinien des Europäischen Datenschutzausschusses zu Datenpannen an. Der Zeitstempel lässt sich damit einmal bestimmen und für alle drei Meldewege verwenden; Schwellen und Formulare bleiben verschieden.

Eingang, Lesen, Kenntnis: Welcher Zeitpunkt zählt?

Der häufigste Irrtum, in beide Richtungen: Die einen rechnen ab Eingang der E-Mail, die anderen lassen sie bis Montag liegen und rechnen ab dem Lesen. Beides ist falsch. Drei Zeitpunkte sind auseinanderzuhalten:

  1. EingangDie Mail liegt im Postfach. Die Frist läuft noch nicht. Die Pflicht zur sofortigen Erstbewertung entsteht aber schon jetzt, nicht erst, wenn zufällig jemand hineinsieht.
  2. LesenJemand öffnet die Mail. Auch das startet die Frist nicht, sondern die Erstbewertung.
  3. KenntnisDie Erstbewertung ergibt mit hinreichender Gewissheit: unser Produkt, aktiv ausgenutzt. Ab hier laufen 24 und 72 Stunden.

Heißt das: Solange niemand das Postfach öffnet, läuft nichts? Nach dem Wortlaut könnte man es so lesen, verlassen sollte man sich darauf nicht. Die Leitlinie gleicht den Kenntnisbegriff in Randnummer 212 ausdrücklich an das Datenschutzrecht an. Dort hat Kenntnis das Unternehmen, nicht eine einzelne Person, und Verantwortliche müssen nach den Leitlinien 9/2022 des Europäischen Datenschutzausschusses Vorkehrungen treffen, um einen Vorfall sofort zu erkennen. Bleibt eine Meldung liegen, weil niemand zuständig ist, wird in der datenschutzrechtlichen Praxis mit dem Zeitpunkt gerechnet, zu dem sie bei ordentlicher Organisation gelesen worden wäre. Ob Marktüberwachung und CSIRTs das für den CRA genauso sehen, ist offen; eine Behördenpraxis gibt es noch nicht. Wer seine Sicherheitsadresse in der security.txt veröffentlicht, wird ein ungelesenes Wochenende aber kaum als Unkenntnis erklären können.

Eine Pflicht, das Postfach rund um die Uhr zu besetzen, nennen weder die Verordnung noch die Leitlinie. Verlangt ist eine Organisation, in der eine Meldung zeitnah jemanden erreicht, der sie lesen und einordnen kann, auch am Wochenende. Wie lange die Erstbewertung dauern darf, sagt niemand; "immediately" und "prompt action" sind die einzigen Maßstäbe. Schickt ein Kunde Logs mit, die den Zugriff belegen, fällt die Kenntnis praktisch mit dem Lesen zusammen. Die Lücke zwischen Eingang und Kenntnis muss sich mit Arbeit füllen lassen, nicht mit Warten.

Zwei Abgrenzungen: Führt ein Sicherheitsforscher einen Exploit vor, sind Funde aus gutgläubigen Tests nach Erwägungsgrund 68 keine aktive Ausnutzung; das Verfahren zur koordinierten Offenlegung (CVD) läuft, die Frist nicht. Meldet ein Dritter die Ausnutzung freiwillig an das CSIRT, unterrichtet dieses nach Artikel 15 Absatz 4 den Hersteller unverzüglich, und ab dann läuft dessen Erstbewertung.

Keine Rückwirkung vor dem 11. September 2026

Die Meldepflicht gilt nach Artikel 71 Absatz 2 seit dem 11. September 2026, nach Artikel 69 Absatz 3 auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, also auch für solche, die schon vorher im Markt waren. Randnummer 217 der Leitlinie stellt klar: Eine Ausnutzung, von der der Hersteller vor diesem Tag wusste, ist nicht nachzumelden. War die Schwachstelle vorher bekannt, die Ausnutzung aber nicht, und wird die Ausnutzung danach bekannt, ist zu melden. Dasselbe sagen die ENISA in ihren Fragen und Antworten (FAQ 13) und die FAQ der Kommission (Frage 5.3, Stand 4. September 2026); wie die Leitlinie sind beide unverbindlich. Der Kenntniszeitpunkt entscheidet hier, ob überhaupt eine Pflicht besteht.

Vier Zeitstempel, die Sie festhalten sollten

Die Single Reporting Platform der ENISA beschriftet ihr Zeitfeld im laufenden Release noch mit dem Zeitpunkt der Erkennung, nicht der Kenntnis. Ein Feld "Date/Time when you became aware" wird laut ENISA-FAQ vom 3. Oktober 2026 erst in einem künftigen Release für die Fristberechnung genutzt; bis dahin rechnet der 72-Stunden-Zähler im Portal ab Absenden der Frühwarnung und damit falsch. Den Nachweis führt der Hersteller deshalb selbst. Vier Zeitstempel reichen, alle in UTC (koordinierter Weltzeit, damit Zeitzonen keine Rolle spielen), jeder mit Beleg:

  1. Erste BeobachtungWann der Hinweis einging oder die eigene Überwachung anschlug. Beleg: E-Mail-Header, Ticket, Log-Auszug.
  2. KenntnisWann die Erstbewertung mit hinreichender Gewissheit abgeschlossen war. Beleg: ein kurzer Vermerk mit Ergebnis, Grundlage (welche Logs, welche Kundenbestätigung) und Beteiligten. Dieser Zeitstempel startet 24 und 72 Stunden.
  3. EskalationWann die Rufkette ausgelöst wurde und wer übernommen hat. Beleg: Anrufprotokoll, Nachricht, Ticket-Zuweisung.
  4. EinreichungWann die Frühwarnung und die weiteren Stufen in der Plattform abgesendet wurden. Beleg: Bestätigungsmail der Plattform.

Ein solches Protokoll ist der einzige Weg, die 24-Stunden-Frist später zu verteidigen.

Welcher Zeitpunkt gehört in das Zeitfeld der Frühwarnung? Bei einem Vorfall beschreibt das SRP-Glossar der ENISA (Version 1.4, Feld i37) das Feld als Kenntniszeitpunkt: "enter the date and time you became aware of the incident"; im laufenden Release heißt es noch "Date and time when the incident was detected". Den Beginn des Vorfalls fragt ein eigenes Feld ab. Nach der ENISA-FAQ 26 soll die Fristberechnung künftig von diesem Feld ausgehen, und die Leitlinie trennt in Randnummer 213 das Bemerken eines verdächtigen Ereignisses von der Kenntnis nach der Erstbewertung. Bei Vorfällen gehört in das Feld deshalb der Kenntniszeitpunkt aus Ihrem Kenntnisvermerk, nicht die erste Beobachtung. Nennen Sie beide Zeitpunkte kurz in der Zusammenfassung, damit der Eintrag nachvollziehbar ist; das ist eine Empfehlung, keine Vorgabe der ENISA. Ob eine Behörde den eingetragenen Zeitpunkt später als Fristbeginn liest, sagt keine Quelle. Für Schwachstellen kommt das Feld erst mit dem nächsten Release; das Glossar beschreibt es bisher widersprüchlich als Zeitpunkt der ersten Entdeckung.

Ein Wochenende, durchgerechnet

Ein Hersteller von Verpackungsmaschinen in Deutschland, alle Angaben erfunden, Uhrzeiten in Sommerzeit:

ZeitpunktWas passiertZeitstempel
Freitag, 23:40Ein Kunde in Italien schreibt an die Sicherheitsadresse: Die Steuerung seiner Verpackungslinie zeigt Administrator-Anmeldungen, die niemand getätigt hat.Erste Beobachtung
Samstag, 07:15Die Bereitschaft liest die Meldung, ruft den Entwicklungsleiter an. Die Erstbewertung beginnt; der Kunde wird um Logs gebeten.
Samstag, 09:50Die Logs zeigen Zugriffe über die Fernwartungsschnittstelle, die eine Schwäche der Anmeldung in Firmware 4.2 nutzen; ein zweiter Kunde bestätigt gleiche Spuren. Hinreichende Gewissheit.Kenntnis
Samstag, 10:05Geschäftsführung informiert, Assigned Representative übernimmt die Meldung.Eskalation
Samstag, 16:30Frühwarnung in der Plattform abgesendet, Bestätigungsmail abgelegt. Betroffene Kunden erhalten den Hinweis, den Fernwartungszugang zu deaktivieren.Einreichung
Sonntag, 09:50Ende der 24-Stunden-Frist, mit gut 17 Stunden Reserve eingehalten.
Dienstag, 09:50Ende der 72-Stunden-Frist, gerechnet ab Kenntnis. Der Zähler im Portal zeigt dagegen Montag, 16:30, also 48 Stunden nach der Frühwarnung; verbindlich bleibt Dienstag.
Donnerstag der FolgewocheFirmware 4.2.2 steht bereit. Ab jetzt laufen 14 Tage für den Abschlussbericht.

Zwei Lehren. Die Frist begann nicht Freitag um 23:40, sondern Samstag um 09:50, weil erst dann die Bewertung abgeschlossen war; die sieben Stunden bis zum Lesen der Mail müssen sich aber erklären lassen. Und: Artikel 14 spricht von Stunden, nicht von Werktagen; eine Ausnahme für Wochenenden oder Feiertage nennt die Verordnung nicht. Auch die allgemeine EU-Fristenregel, die Verordnung (EWG, Euratom) Nr. 1182/71, verschiebt nach Stunden bemessene Fristen nicht (Artikel 3 Absatz 4). Die Fristen zu Ihrem Kenntniszeitpunkt rechnet der Fristen-Rechner aus.

Muss am Sonntag um 4 Uhr jemand geweckt werden?

Meist nicht. Eine Mail, die Sonntag um 4 Uhr eingeht, kann in der Regel bis zum Vormittag warten, wenn dann verlässlich jemand nachsieht. Der Grund ist die Rechnung für den ungünstigsten Fall: Selbst wenn eine Behörde die Kenntnis später auf den Eingang der Mail vorverlegt, bleibt genug Zeit für die Frühwarnung.

ZeitpunktWas passiertZeitstempel
Sonntag, 04:00Ein Kunde meldet an die Sicherheitsadresse ungewöhnliche Anmeldungen an seiner Anlage, ohne weitere Belege. Niemand wird geweckt.Erste Beobachtung
Sonntag, 09:00Die Bereitschaft sieht zur festgelegten Zeit nach und beginnt die Erstbewertung; der Kunde wird um Logs gebeten.
Sonntag, 10:00Die Logs belegen den Zugriff über eine Schwachstelle im Produkt. Hinreichende Gewissheit.Kenntnis
Sonntag, 15:00Frühwarnung abgesendet.Einreichung
Montag, 04:00Ende der 24 Stunden im ungünstigsten Fall, gerechnet ab Eingang der Mail. Auch so bleiben ab Kenntnis noch 18 Stunden für die Frühwarnung.
Montag, 10:00Ende der 24 Stunden, gerechnet ab Kenntnis.

Auch das Wort "unverzüglich" in Artikel 14 Absatz 2 zwingt nach unserer Lesart nicht zum nächtlichen Wecken. Im deutschen Sprachgebrauch heißt unverzüglich "ohne schuldhaftes Zögern", und wer nachts schläft und morgens zur festgelegten Zeit nachsieht, zögert nicht schuldhaft. Das ist eine Auslegung, keine bestätigte Behördenpraxis. Anders liegt es, wenn die Mail selbst schon belegt, dass gerade angegriffen wird, etwa mit Logs oder dem Hinweis auf einen laufenden Angriff bei einem Kunden. Dann geht es nicht mehr nur um die Frist, sondern um Schaden bei Kunden, und dann lohnt der Anruf um 4 Uhr.

Das eigentliche Risiko liegt woanders. Eine Mail, die Freitag um 23 Uhr eingeht und Montag um 8 Uhr zum ersten Mal gelesen wird, hat 57 Stunden gelegen. Das lässt sich nicht mehr als sofortige Bewertung erklären. Praktikabel ist eine einfache Regel:

  • Feste Zeiten, zu denen am Wochenende und an Feiertagen jemand nachsieht, zum Beispiel morgens und abends, schriftlich festgelegt.
  • Nachts wecken nur bei starken Hinweisen in der Mail selbst: Logs, Angriffsspuren, ein Kunde mit laufendem Vorfall, Begriffe wie "exploited" oder "in the wild".
  • Jedes Nachsehen und jede Einstufung mit Uhrzeit festhalten. Dann lässt sich später zeigen, dass die Lücke zwischen Eingang und Kenntnis geplant war und nicht Zufall.
Kostenlose VorlagenCRA-Meldepflicht-KitDer Kenntnisvermerk als Formular und ein Fallprotokoll mit den vier Zeitstempeln, das alle Fristen ab Kenntnis ausrechnet.Kit anfordern

Typische Fehler

  • Auf die vollständige Ursachenanalyse warten. Kenntnis liegt mit hinreichender Gewissheit vor, nicht mit Vollständigkeit.
  • Die Bewertung liegen lassen, um die Uhr nicht zu starten. Die Leitlinie verlangt "immediately"; die Lücke zwischen Eingang und Kenntnis muss erklärbar sein.
  • Das Postfach am Wochenende nicht lesen, weil die Frist ja erst mit Kenntnis beginnt. Verspätete Kenntnis aus fehlender Organisation wird im Zweifel vorverlegt.
  • Den Kenntniszeitpunkt nicht festhalten. Ohne Zeitstempel lässt sich die 24-Stunden-Frist später weder belegen noch verteidigen.

Bei dieser Einstufung hilft CRA Response Center: Jede Meldung an Ihre Sicherheitsadresse wird auch nachts und am Wochenende eingestuft. Benachrichtigt wird nur bei wichtigen Mails, etwa wenn eine Mail nach Ausnutzung aussieht oder eine Behörde schreibt; alles andere landet still unter Aussortiert. Den Zeitpunkt der Kenntnis bestätigt Ihre zuständige Person im Tool per Knopf, und Eingang, Übernahme und Kenntnis stehen mit Zeitstempel im Verlauf; Bewertung und Einreichung bleiben beim Hersteller.

Häufige Fragen

Beginnt die Frist, wenn die E-Mail des Kunden eingeht?

Nein. Der Eingang startet die Pflicht, das Ereignis sofort zu bewerten. Die Frist beginnt, wenn die Erstbewertung mit hinreichender Gewissheit ergibt, dass das eigene Produkt aktiv ausgenutzt wird (Randnummer 213 der Leitlinie).

Startet erst das Lesen der Mail die Frist?

Nein, auch das Lesen nicht. Die Frist beginnt mit der Kenntnis nach der Erstbewertung. Wer eine Mail aber liegen lässt, weil niemand das Postfach betreut, muss damit rechnen, dass die Kenntnis auf den Zeitpunkt vorverlegt wird, zu dem sie bei ordentlicher Organisation gelesen worden wäre.

Muss nachts jemand geweckt werden?

Eine Pflicht zur Besetzung rund um die Uhr nennen Verordnung und Leitlinie nicht. Selbst wenn die Kenntnis auf den Eingang um 4 Uhr vorverlegt würde, bleibt bei einer Prüfung am Vormittag genug Zeit für die Frühwarnung. Wecken lohnt sich, wenn die Mail selbst schon einen laufenden Angriff belegt.

Wie lange darf die Erstbewertung dauern?

Die Leitlinie sagt "immediately" und "prompt action", nennt aber keine Stundenzahl; eine Behördenpraxis gibt es noch nicht. Je länger die Bewertung dauert, desto besser muss dokumentiert sein, was in der Zeit geschah.

Was, wenn ich mir nicht sicher bin?

Bewertung und Begründung dokumentieren, weiter prüfen. Im Zweifel ist eine freiwillige Meldung nach Artikel 15 möglich; sie erzeugt nach Artikel 15 Absatz 5 keine zusätzlichen Pflichten.

Zählen Wochenende und Feiertage mit?

Artikel 14 nennt 24 und 72 Stunden, keine Werktage. Eine Ausnahme für Wochenenden oder Feiertage steht nicht in der Verordnung. Auch wer die allgemeine EU-Fristenverordnung 1182/71 anwendet, kommt zum selben Ergebnis: Samstage, Sonntage und Feiertage zählen mit, und eine nach Stunden bemessene Frist verschiebt sich nicht auf den nächsten Werktag (Artikel 3 Absatz 3 und 4). Offen ist, ob die Fristenverordnung beim Abschlussbericht (14 Tage, ein Monat) ein Fristende am Wochenende auf den nächsten Arbeitstag schiebt; sie gilt nach ihrem Artikel 1 für Rechtsakte von Rat und Kommission, und der CRA verweist nicht auf sie. Die Beispiele hier rechnen ohne Verschiebung, das ist die sichere Seite.

Muss ich Fälle aus der Zeit vor dem 11. September 2026 nachmelden?

Nein (Randnummer 217). Wird die Ausnutzung einer schon länger bekannten Schwachstelle aber erst nach diesem Datum bekannt, ist sie zu melden.

Drohen bei einer verspäteten Frühwarnung sofort Bußgelder?

Der Bußgeldrahmen aus Artikel 64 gilt nach Artikel 71 Absatz 2 erst ab dem 11. Dezember 2027; Kleinst- und Kleinunternehmen sind für die 24-Stunden-Frist nach Artikel 64 Absatz 10 ausgenommen. Die Frist selbst gilt seit dem 11. September 2026.

Weiterlesen

Quellen

Die Meldepflicht läuft. Wer nimmt bei Ihnen nachts ab?

CRA Response Center liest Ihr Sicherheits-Postfach mit, erkennt wichtige Meldungen mit einer KI in Deutschland, ohne OpenAI und Co., und benachrichtigt Ihre Leute per SMS und E-Mail. 190 Euro im Monat je Domain inklusive Mehrwertsteuer, 30 Tage kostenlos testen.

30 Tage kostenlos testen