Melden auf der ENISA Single Reporting Platform

Jede Meldung nach Artikel 14 läuft über eine Plattform, betrieben von der ENISA, die sie an das koordinierende CSIRT weiterleitet.Art. 16 Die Plattform ist unter portal.cra-srp.enisa.europa.eu erreichbar. Diese Seite listet, was sie abfragt, in der Reihenfolge, in der sie es abfragt, damit Sie das Formular nicht zum ersten Mal sehen, während Sie es ausfüllen.

Vor der ersten Meldung

Eine benannte Person reicht ein
Meldungen werden von einem Bevollmächtigten eingegeben, der mit EU Login und Mehrfaktor-Authentifizierung angemeldet ist. Ein Hersteller registriert einen primären Vertreter und bis zu zwanzig sekundäre. Richten Sie das ein, bevor Sie es brauchen: die Registrierung ist kein Schritt, den man in der 23. Stunde entdecken will.
Es gibt keine Schnittstelle
Die ENISA hat bestätigt, dass die Plattform Meldungen ausschließlich über ihre Weboberfläche entgegennimmt. Jedes Produkt, das behauptet, für Sie einzureichen, beschreibt etwas, das nicht existiert. Was ein Produkt kann: das Paket erzeugen, das eine Person überträgt.ENISA FAQ 15
Die Validierung blockiert die Einreichung nicht
Ein Hersteller kann einreichen, bevor sein CSIRT die Registrierung validiert hat; bis zu zwanzig Meldungen sind vor der verpflichtenden Verifizierung möglich. Die Frist wartet nicht auf eine Bestätigungsmail, und Sie sollten es auch nicht.
Das falsche CSIRT kann die Meldung entwerten
Das koordinierende CSIRT ist durch Artikel 14(7) festgelegt, und eine an das falsche gesendete Meldung kann für ungültig erklärt und neu einzureichen sein. Klären Sie vorab, welches Ihres ist.ENISA FAQ 18
Vorerst nur auf Englisch
Oberfläche und Felder sind zum Start auf Englisch. Die Feldbezeichnungen unten sind übersetzt; die Hinweise zu jedem Feld sind, wie auf der Plattform, englisch.ENISA FAQ 24
Ist die Plattform nicht erreichbar: warten
Die Anleitung der ENISA lautet, nach der Rückkehr der Plattform einzureichen. Das CSIRT in der Zwischenzeit direkt zu kontaktieren ist vernünftig und erfüllt die Pflicht für sich genommen nicht.ENISA FAQ 25

Der 72-Stunden-Zähler der Plattform ist derzeit falsch

Die ENISA schreibt in ihren FAQ (Eintrag 26), dass die Plattform die 72-Stunden-Frist als 48 Stunden nach Einreichung der Frühwarnung anzeigt und dies in einer späteren Version korrigiert wird. Die Verordnung rechnet die 72 Stunden ab Kenntnisnahme, nicht ab Einreichung.Art. 14⁠(2)⁠⁠(b)⁠ Berechnen Sie die Frist selbst oder lassen Sie es etwas tun, das es tut; lesen Sie sie nicht von der Konsole ab.

Die Felder, Phase für Phase

Abgestimmt auf das CRA SRP Glossary der ENISA, Version 1.3, 10 September 2026. Jedes Feld trägt die Glossarzeile, aus der es stammt, und den Artikel, den es erfüllt. Felder, die die Plattform nicht hat, sind gekennzeichnet; sie bleiben, weil die Pflicht dahinter real ist und außerhalb des Formulars erfüllt wird.

Early warning

Due within 24 hours of becoming aware. 7 required fields; the rest can be left for a later stage.

Meldung

Um welche Art von Meldung es sich handelt, und ein Titel, an dem die Behörde sie erkennt.

  • Art der Meldung

    requiredplatform fillsone of: Vulnerability · Incident

    Art. 14⁠(1)⁠glossary #1

  • Titel

    requiredtext, up to 255 characters

    Short and specific enough to recognise the product and the issue, with no confidential technical detail. For example: "Active exploitation affecting Product X version 4.2".

    Art. 14⁠(2)⁠⁠(a)⁠glossary #2

  • Zusammenfassung

    requiredfree text, up to 4,000 characters

    What happened, the affected product or version, the known impact, and the current mitigation status. Facts available at this stage; it is carried forward and can be updated at each later stage.

    Art. 14⁠(2)⁠⁠(a)⁠glossary #3

  • Eingeschätzte Sensibilität dieser Informationen

    text, up to 255 characters

    Say so where wider circulation would itself increase the risk to users. Not a generic confidentiality statement.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #15

Hersteller

Den Herstellernamen übernimmt die Plattform aus Ihrer Registrierung. Der Rest dient Ihren eigenen Unterlagen zur Meldung.

  • Name der juristischen Person

    platform fillstext

    Shown by the platform as you registered it. Check it matches.

    Art. 14⁠(1)⁠glossary #4

  • Eingetragene Anschrift

    free text

    For your record. Not a platform field.

    Art. 14⁠(1)⁠not a platform field

  • Niederlassung in der Union oder Bevollmächtigter

    free text

    Relevant if you have no establishment in the Union. For your record; the platform takes this from registration.

    Art. 14⁠(7)⁠not a platform field

  • Ansprechpartner

    text

    For your record. The platform uses the submitting representative’s own account.

    Art. 14⁠(1)⁠not a platform field

  • E-Mail-Adresse

    text

    For your record. Not a platform field.

    Art. 14⁠(1)⁠not a platform field

  • Telefonnummer

    text

    For your record. Not a platform field.

    Art. 14⁠(1)⁠not a platform field

Produkt

  • Produktbezeichnung

    requiredtext, up to 255 characters

    The official product name.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #6

  • Produktversion oder Versionsbereich

    requiredtext, up to 255 characters

    For example "4.0–4.2.1", or a single version.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #7

  • Mitgliedstaaten, in denen das Produkt bereitgestellt wird

    requiredone or more

    Every member state where you know the product has been made available. The platform uses this to decide which national teams are concerned, and pre-selects the one you registered with.

    Art. 14⁠(2)⁠⁠(a)⁠glossary #5

  • Produktart

    one of: Default · Important Product with Digital Elements · Critical Product with Digital Elements

    Choose Important or Critical only where the product falls within Annex III or IV; otherwise Default. This never changes a reporting deadline.

    Annex IIIglossary #8

  • Produktklasse

    one of: Class I · Class II

    Leave empty unless the product is an important product.

    Annex IIIglossary #9

  • Produktkategorie

    one of: Identity management systems, and privileged access management software and hardware, including authentication and access control readers · Standalone and embedded browsers · Password managers · Software that searches for, removes or quarantines malicious software · Products with the function of a virtual private network (VPN) · Network management systems · Security information and event management (SIEM) systems · Boot managers · Public key infrastructure and digital certificate issuance software · Physical and virtual network interfaces · Operating systems · Routers, modems intended for connection to the internet, and switches · Microprocessors with security-related functionalities · Microcontrollers with security-related functionalities · ASICs and FPGAs with security-related functionalities · Smart home general purpose virtual assistants · Smart home products with security functionalities, including smart door locks, security cameras, baby monitors and alarm systems · Internet-connected toys with social interactive features or location tracking · Personal wearables with a health monitoring purpose outside the medical device regulations, or wearables intended for children · Hypervisors and container runtime systems supporting virtualised execution of operating systems · Firewalls, intrusion detection and prevention systems · Tamper-resistant microprocessors · Tamper-resistant microcontrollers · Hardware devices with security boxes · Smart meter gateways, and other devices for advanced security purposes including secure cryptoprocessing · Smartcards and similar devices, including secure elements

    The Annex III or IV category, where one applies.

    Annex IIIglossary #10

  • Ist der Unterstützungszeitraum des Produkts abgelaufen?

    one of: Yes · No

    Art. 13⁠(8)⁠glossary #11

Erste Hinweise

Die Frühwarnung ist bewusst kurz. Sie startet die Frist und teilt der Behörde mit, dass etwas vorliegt; vollständig sein muss sie nicht.

  • Datum und Uhrzeit der Kenntnisnahme

    requireddate and time, shown in UTC

    When you first had reason to believe the product was affected. If the exact time is unknown, enter your best supported estimate and say so in the summary.

    Art. 14⁠(2)⁠⁠(a)⁠glossary v26 / i37

Notification

Due within 72 hours of becoming aware. 8 required fields; the rest can be left for a later stage.

Meldung

Um welche Art von Meldung es sich handelt, und ein Titel, an dem die Behörde sie erkennt.

  • Art der Meldung

    requiredplatform fillsone of: Vulnerability · Incident

    Art. 14⁠(1)⁠glossary #1

  • Titel

    requiredtext, up to 255 characters

    Short and specific enough to recognise the product and the issue, with no confidential technical detail. For example: "Active exploitation affecting Product X version 4.2".

    Art. 14⁠(2)⁠⁠(a)⁠glossary #2

  • Zusammenfassung

    requiredfree text, up to 4,000 characters

    What happened, the affected product or version, the known impact, and the current mitigation status. Facts available at this stage; it is carried forward and can be updated at each later stage.

    Art. 14⁠(2)⁠⁠(a)⁠glossary #3

  • Eingeschätzte Sensibilität dieser Informationen

    text, up to 255 characters

    Say so where wider circulation would itself increase the risk to users. Not a generic confidentiality statement.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #15

Hersteller

Den Herstellernamen übernimmt die Plattform aus Ihrer Registrierung. Der Rest dient Ihren eigenen Unterlagen zur Meldung.

  • Name der juristischen Person

    platform fillstext

    Shown by the platform as you registered it. Check it matches.

    Art. 14⁠(1)⁠glossary #4

  • Eingetragene Anschrift

    free text

    For your record. Not a platform field.

    Art. 14⁠(1)⁠not a platform field

  • Niederlassung in der Union oder Bevollmächtigter

    free text

    Relevant if you have no establishment in the Union. For your record; the platform takes this from registration.

    Art. 14⁠(7)⁠not a platform field

  • Ansprechpartner

    text

    For your record. The platform uses the submitting representative’s own account.

    Art. 14⁠(1)⁠not a platform field

  • E-Mail-Adresse

    text

    For your record. Not a platform field.

    Art. 14⁠(1)⁠not a platform field

  • Telefonnummer

    text

    For your record. Not a platform field.

    Art. 14⁠(1)⁠not a platform field

Produkt

  • Produktbezeichnung

    requiredtext, up to 255 characters

    The official product name.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #6

  • Produktversion oder Versionsbereich

    requiredtext, up to 255 characters

    For example "4.0–4.2.1", or a single version.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #7

  • Mitgliedstaaten, in denen das Produkt bereitgestellt wird

    requiredone or more

    Every member state where you know the product has been made available. The platform uses this to decide which national teams are concerned, and pre-selects the one you registered with.

    Art. 14⁠(2)⁠⁠(a)⁠glossary #5

  • Produktart

    one of: Default · Important Product with Digital Elements · Critical Product with Digital Elements

    Choose Important or Critical only where the product falls within Annex III or IV; otherwise Default. This never changes a reporting deadline.

    Annex IIIglossary #8

  • Produktklasse

    one of: Class I · Class II

    Leave empty unless the product is an important product.

    Annex IIIglossary #9

  • Produktkategorie

    one of: Identity management systems, and privileged access management software and hardware, including authentication and access control readers · Standalone and embedded browsers · Password managers · Software that searches for, removes or quarantines malicious software · Products with the function of a virtual private network (VPN) · Network management systems · Security information and event management (SIEM) systems · Boot managers · Public key infrastructure and digital certificate issuance software · Physical and virtual network interfaces · Operating systems · Routers, modems intended for connection to the internet, and switches · Microprocessors with security-related functionalities · Microcontrollers with security-related functionalities · ASICs and FPGAs with security-related functionalities · Smart home general purpose virtual assistants · Smart home products with security functionalities, including smart door locks, security cameras, baby monitors and alarm systems · Internet-connected toys with social interactive features or location tracking · Personal wearables with a health monitoring purpose outside the medical device regulations, or wearables intended for children · Hypervisors and container runtime systems supporting virtualised execution of operating systems · Firewalls, intrusion detection and prevention systems · Tamper-resistant microprocessors · Tamper-resistant microcontrollers · Hardware devices with security boxes · Smart meter gateways, and other devices for advanced security purposes including secure cryptoprocessing · Smartcards and similar devices, including secure elements

    The Annex III or IV category, where one applies.

    Annex IIIglossary #10

  • Ist der Unterstützungszeitraum des Produkts abgelaufen?

    one of: Yes · No

    Art. 13⁠(8)⁠glossary #11

Zeitpunkte

Art der Schwachstelle oder des Vorfalls

Erste Bewertung

  • Schweregrad (CVSS)

    text

    For your record. Not a platform field.

    Art. 14⁠(2)⁠⁠(b)⁠not a platform field

  • Auswirkungen

    free text, up to 4,000 characters

    What is known so far. Required in full at the final report.

    Art. 14⁠(2)⁠⁠(b)⁠glossary v25 / i35

  • Zahl und Art der betroffenen Nutzer, soweit bekannt

    free text

    For your record. Not a platform field.

    Art. 14⁠(2)⁠⁠(b)⁠not a platform field

Korrektur- und Abhilfemaßnahmen

  • Ergriffene Korrektur- oder Abhilfemaßnahmen

    free text, up to 2,000 characters

    Actions already taken. Required in full at the final report.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #16

  • Korrektur- oder Abhilfemaßnahmen, die Nutzer ergreifen können

    free text, up to 4,000 characters

    Required in full at the final report.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #17

  • Nutzermaßnahmen zur Verringerung der Auswirkungen

    free text, up to 4,000 characters

    Art. 14⁠(2)⁠⁠(b)⁠glossary #14

  • Wird in Kürze eine Abhilfemaßnahme erwartet?

    one of: Yes · No

    Art. 14⁠(2)⁠⁠(b)⁠glossary #13

  • Wurden die Nutzer informiert, und auf welchem Weg?

    free text

    For your record. The platform has no field for this; the duty is real and is met outside it.

    Art. 14⁠(8)⁠not a platform field

Besondere außergewöhnliche Umstände

Optional, nur für Schwachstellen und nur in dieser Phase. Wird sie geltend gemacht, erhält die ENISA nur Teilinformationen, bis das zuständige CSIRT die vollständige Meldung freigibt.

Final report

Due within 14 days of a fix being available, or one month after the incident notification. 13 required fields; the rest can be left for a later stage.

Meldung

Um welche Art von Meldung es sich handelt, und ein Titel, an dem die Behörde sie erkennt.

  • Art der Meldung

    requiredplatform fillsone of: Vulnerability · Incident

    Art. 14⁠(1)⁠glossary #1

  • Titel

    requiredtext, up to 255 characters

    Short and specific enough to recognise the product and the issue, with no confidential technical detail. For example: "Active exploitation affecting Product X version 4.2".

    Art. 14⁠(2)⁠⁠(a)⁠glossary #2

  • Zusammenfassung

    requiredfree text, up to 4,000 characters

    What happened, the affected product or version, the known impact, and the current mitigation status. Facts available at this stage; it is carried forward and can be updated at each later stage.

    Art. 14⁠(2)⁠⁠(a)⁠glossary #3

  • Eingeschätzte Sensibilität dieser Informationen

    text, up to 255 characters

    Say so where wider circulation would itself increase the risk to users. Not a generic confidentiality statement.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #15

Hersteller

Den Herstellernamen übernimmt die Plattform aus Ihrer Registrierung. Der Rest dient Ihren eigenen Unterlagen zur Meldung.

  • Name der juristischen Person

    platform fillstext

    Shown by the platform as you registered it. Check it matches.

    Art. 14⁠(1)⁠glossary #4

  • Eingetragene Anschrift

    free text

    For your record. Not a platform field.

    Art. 14⁠(1)⁠not a platform field

  • Niederlassung in der Union oder Bevollmächtigter

    free text

    Relevant if you have no establishment in the Union. For your record; the platform takes this from registration.

    Art. 14⁠(7)⁠not a platform field

  • Ansprechpartner

    text

    For your record. The platform uses the submitting representative’s own account.

    Art. 14⁠(1)⁠not a platform field

  • E-Mail-Adresse

    text

    For your record. Not a platform field.

    Art. 14⁠(1)⁠not a platform field

  • Telefonnummer

    text

    For your record. Not a platform field.

    Art. 14⁠(1)⁠not a platform field

Produkt

  • Produktbezeichnung

    requiredtext, up to 255 characters

    The official product name.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #6

  • Produktversion oder Versionsbereich

    requiredtext, up to 255 characters

    For example "4.0–4.2.1", or a single version.

    Art. 14⁠(2)⁠⁠(b)⁠glossary #7

  • Mitgliedstaaten, in denen das Produkt bereitgestellt wird

    requiredone or more

    Every member state where you know the product has been made available. The platform uses this to decide which national teams are concerned, and pre-selects the one you registered with.

    Art. 14⁠(2)⁠⁠(a)⁠glossary #5

  • Produktart

    one of: Default · Important Product with Digital Elements · Critical Product with Digital Elements

    Choose Important or Critical only where the product falls within Annex III or IV; otherwise Default. This never changes a reporting deadline.

    Annex IIIglossary #8

  • Produktklasse

    one of: Class I · Class II

    Leave empty unless the product is an important product.

    Annex IIIglossary #9

  • Produktkategorie

    one of: Identity management systems, and privileged access management software and hardware, including authentication and access control readers · Standalone and embedded browsers · Password managers · Software that searches for, removes or quarantines malicious software · Products with the function of a virtual private network (VPN) · Network management systems · Security information and event management (SIEM) systems · Boot managers · Public key infrastructure and digital certificate issuance software · Physical and virtual network interfaces · Operating systems · Routers, modems intended for connection to the internet, and switches · Microprocessors with security-related functionalities · Microcontrollers with security-related functionalities · ASICs and FPGAs with security-related functionalities · Smart home general purpose virtual assistants · Smart home products with security functionalities, including smart door locks, security cameras, baby monitors and alarm systems · Internet-connected toys with social interactive features or location tracking · Personal wearables with a health monitoring purpose outside the medical device regulations, or wearables intended for children · Hypervisors and container runtime systems supporting virtualised execution of operating systems · Firewalls, intrusion detection and prevention systems · Tamper-resistant microprocessors · Tamper-resistant microcontrollers · Hardware devices with security boxes · Smart meter gateways, and other devices for advanced security purposes including secure cryptoprocessing · Smartcards and similar devices, including secure elements

    The Annex III or IV category, where one applies.

    Annex IIIglossary #10

  • Ist der Unterstützungszeitraum des Produkts abgelaufen?

    one of: Yes · No

    Art. 13⁠(8)⁠glossary #11

Zeitpunkte

Ausführliche Beschreibung

  • Ausführliche Beschreibung des Schweregrads

    requiredfree text, up to 4,000 characters

    Art. 14⁠(2)⁠⁠(c)⁠glossary v24 / i34

  • Auswirkungen

    requiredfree text, up to 4,000 characters

    The affected systems, components, data, users or services, as applicable.

    Art. 14⁠(2)⁠⁠(c)⁠glossary v25 / i35

  • Angaben zum böswilligen Akteur

    text, up to 100 characters

    Required by the platform if such information is available. Observed indicators, or a statement that attribution is unknown.

    Art. 14⁠(2)⁠⁠(c)⁠glossary v27

Korrektur- und Abhilfemaßnahmen

  • Ergriffene Korrektur- oder Abhilfemaßnahmen

    requiredfree text, up to 2,000 characters

    Art. 14⁠(2)⁠⁠(c)⁠glossary #16

  • Korrektur- oder Abhilfemaßnahmen, die Nutzer ergreifen können

    requiredfree text, up to 4,000 characters

    Art. 14⁠(2)⁠⁠(c)⁠glossary #17

  • Angaben zur bereitgestellten Sicherheitsaktualisierung oder Korrekturmaßnahme

    requiredfree text, up to 2,000 characters

    Art. 14⁠(2)⁠⁠(c)⁠glossary v23

  • Erkenntnisse und Prozessänderungen

    free text

    For your record, not a platform field — and worth writing: it is the part a market-surveillance authority reads as evidence of a working process.

    Art. 14⁠(2)⁠⁠(c)⁠not a platform field

Das Paket, vorausgefüllt mit dem, was Sie schon wissen

Declara erzeugt jede der drei Phasen aus denselben Definitionen, vorausgefüllt aus Produkt und Advisory, mit ab Kenntnisnahme berechneten Fristen, auf Wunsch auf Deutsch. Sie übertragen es; nichts reicht für Sie ein.

14 Tage kostenlos testenWelches CSIRT Ihres ist

Diese Seite auf Englisch: Filing on the ENISA Single Reporting Platform.

Dies erzeugt Nachweise, Zeitpläne und Entwürfe. Es ist keine Rechtsberatung, und der Hersteller bleibt die für die Meldung verantwortliche Partei.