CRA-Meldepflichten gelten seit dem 11. September 2026
Wissen, wann die 24-Stunden-Frist des CRA begonnen haben könnte.
Vulnio prüft Ihre SBOM oder Ihr Lockfile auf bekannte Schwachstellen und gegen die Listen aktiv ausgenutzter Schwachstellen (CISA KEV, ENISA EUVD), überwacht sie täglich und liefert Ihnen die Fristen nach Art. 14 sowie kopierfertige Entwürfe für die Meldeplattform der ENISA. Gemacht für kleine Software- und Gerätehersteller.
Kostenlos, ohne Konto, ohne Karte. Wir speichern nur Namen und Versionen der Komponenten, nie Ihre Datei, und löschen Einzelscans nach 30 Tagen.
Ab dem Moment, in dem Sie davon Kenntnis erlangen
- 24 Stunden FrühwarnungArt. 14 Abs. 2 lit. a, Abs. 4 lit. a
- 72 Stunden Meldung der Schwachstelle bzw. des VorfallsArt. 14 Abs. 2 lit. b, Abs. 4 lit. b
- 14 Tage / 1 Monat Abschlussbericht: 14 Tage nach Verfügbarkeit einer Korrektur (Schwachstelle), einen Monat nach der Meldung (schwerwiegender Vorfall)Art. 14 Abs. 2 lit. c, Abs. 4 lit. c
Heute kennt Vulnio 1.796 Schwachstellen, die CISA KEV und ENISA EUVD als aktiv ausgenutzt führen.
Was die Verordnung sagt
Zwei Termine, und einer ist schon vorbei
11.09.2026
Meldepflicht gilt
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die zentrale Meldeplattform der ENISA melden (Art. 14, Art. 71 Abs. 2). Das gilt auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3).
11.12.2027
Alles Übrige gilt
Grundlegende Cybersicherheitsanforderungen, Schwachstellenbehandlung (einschließlich SBOM), technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung (Art. 13, Anhang I, Art. 71 Abs. 2).
Kleine Unternehmen sind von der Meldepflicht nicht ausgenommen. Kleinst- und Kleinunternehmen bleiben lediglich von Geldbußen für eine verpasste 24-Stunden-Frühwarnung verschont (Art. 64 Abs. 10, berichtigt am 2. Juli 2025).
Was Vulnio tut
Vom Lockfile zum Meldeentwurf
Anwendungsbereich-Check
Acht Fragen, eine Antwort mit Artikelangaben: betroffen, nicht betroffen oder unklar (dann Anwalt fragen).
Einzelscan
CycloneDX, SPDX, package-lock, composer.lock, requirements/poetry, go.sum, Cargo.lock, pom.xml, gradle.lockfile. Ausgenutzte Treffer zuerst.
Tägliche Überwachung
Ihre Produkte werden jeden Tag neu gescannt. Ein neuer aktiv ausgenutzter Treffer kommt noch am selben Morgen per E-Mail.
Vorfallprotokoll und Fristen
Sie tragen ein, wann Sie Kenntnis erlangt haben, und sehen die Fristen für 24 h, 72 h und Abschlussbericht so gezählt wie in der Verordnung.
Meldeentwürfe
Frühwarnung, Meldung und Abschlussbericht in der Reihenfolge der Plattformfelder, dazu ein Nutzerhinweis auf Englisch und Deutsch.
security.txt und Richtlinie
Eine gehostete Richtlinie zur Offenlegung von Schwachstellen und eine security.txt nach RFC 9116, dazu ein PDF-Nachweis je Produkt.
Was Vulnio nicht tut
Klar gesagt
- Vulnio entscheidet nicht, ob Sie melden müssen. Ein Eintrag in KEV oder EUVD bedeutet, dass die Schwachstelle irgendwo ausgenutzt wird, nicht zwingend in Ihrem Produkt.
- Vulnio übermittelt nichts an die ENISA. Die Plattform hat keine API (ENISA-FAQ); Sie fügen die Entwürfe ein und reichen sie selbst ein.
- Vulnio ist keine Rechtsberatung und ersetzt keinen Anwalt, wenn der Anwendungsbereich unklar ist.
- Nicht in dieser Version: Vorlagen für technische Dokumentation und EU-Konformitätserklärung, eine GitHub-App.
Preise
Prüfen kostenlos, dauerhaft überwachen ab 29 € im Monat
Anwendungsbereich-Check und Einzelscan bleiben kostenlos. Überwachung, Warnungen, Vorfallprotokoll und Entwürfe sind kostenpflichtig.
Kostenlos
0 €
- CRA-Anwendungsbereich-Check mit Artikelangaben
- Einzelscan einer SBOM oder eines Lockfiles
- Ausgenutzte Treffer (CISA KEV, ENISA EUVD) zuerst
Preise zzgl. MwSt. Die MwSt. wird berechnet, wo sie anfällt (EU-Kunden ohne USt-IdNr.); mit gültiger EU-USt-IdNr. gilt das Reverse-Charge-Verfahren.
Fangen Sie mit Ihrem Lockfile an
Das dauert etwa eine Minute und braucht kein Konto.