Artikel 14: Schwachstellenbehandlung und Meldung
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle an ENISA und nationale CSIRTs melden. Das ist eine Meldung an Behörden, keine Pflicht, Endkunden E-Mails zu schreiben.
Artikel 14 ist der Kalenderdruck für die meisten Hersteller. Melden können Sie nur, was Sie in einem bereits in Verkehr befindlichen Produkt finden. Endnutzer zu informieren gehört zur Schwachstellenbehandlung / koordinierten Offenlegung Richtung volle Anwendung im Dezember 2027, ein getrennter Pfad von der SRP-Einreichung.
alloy-it ist keine CE-Kennzeichnungssoftware, keine notifizierte Stelle und reicht keine Berichte bei ENISA ein. Es hilft Ihnen zu wissen, was Sie ausgeliefert haben, zu entscheiden, was betroffen ist, Kenntnis festzuhalten und ein kopierbares JSON-Paket vorzubereiten.
Die 24h-/72h-/14-Tage-Zeitlinie
Alle drei Uhren laufen ab demselben Moment: wann der Hersteller Kenntnis erlangt hat. Sehen, was vor dem 11. September 2026 stehen muss →
- 24 Stunden
Frühwarnung
ENISA + nationales CSIRT
Ab dem Moment, in dem Sie Kenntnis davon erlangen, dass eine Schwachstelle in einem von Ihnen in Verkehr gebrachten Produkt aktiv ausgenutzt wird. Kurz reicht: was Sie wissen, und dass Sie untersuchen.
In alloy-it: Die Kenntnis wird festgehalten, sobald Sie die Ausnutzung erfassen. Die 24-Stunden-Nutzlast wird aus Ihren Produkt- und Release-Daten entworfen.
- 72 Stunden
Schwachstellenmeldung
ENISA + nationales CSIRT
Das vollere Bild: betroffene Produkte und Versionen, Schwere und Auswirkungen sowie verfügbare Korrektur- oder Minderungsmaßnahmen für Nutzer.
In alloy-it: Betroffene Releases kommen aus Ihrem Inventar und Ihren Triage-Entscheidungen. Die Abgrenzung ist keine manuelle Archäologie.
- 14 Tage
Abschlussbericht
ENISA + nationales CSIRT
Sobald eine Korrekturmaßnahme verfügbar ist: Art der Schwachstelle, der Fix und was Sie dagegen unternommen haben.
In alloy-it: Das Nachweispaket zieht SBOM, Funde, Triage-Historie und Kenntniszeitlinie für das betroffene Release zusammen.
Wie alloy-it die Bereitschaft für Artikel 14 unterstützt
Lebendes Produktinventar
Produkte und Releases mit Hersteller- und/oder aus Firmware abgeleiteten SBOMs, damit Sie antworten können: „Steckt CVE X in etwas, das wir bereits ausgeliefert haben?“
KEV-/EUVD-Überlagerung
Funde hervorheben, die in Komponenten Ihrer ausgelieferten Releases aktiv ausgenutzt werden.
Kenntniszeitpunkt
Festhalten, wann der Hersteller Kenntnis erlangt hat. Das startet die Uhr von Artikel 14.
Kopierbare JSON-SRP-Nutzlast
Felder für ENISA SRP / nationales CSIRT exportieren. Alloy reicht nicht ein. Die Einreichung bleibt bei Ihren PSIRT- und Rechtsverantwortlichen.
Kundenavise (Patch-Version, Apply-by) sind ein getrennter Notify-Pfad, der geöffnet wird, nachdem die Triage Auswirkungen bestätigt und ein Fix oder eine Minderung vorliegt. Sie sind nicht die Pflicht vom September 2026. So funktionieren Advisories → Die vollständige Checkliste ansehen →
CRA-Konformitätshub
CRA-Überblick für Embedded und Firmware
Was der Cyber Resilience Act verlangt, die Fristen und wie Hersteller von Produkten mit digitalen Elementen konform werden.
CRA-SBOM-Anforderungen
Format, Umfang und Regeln je Version für ein CRA-konformes Produkt-Software Bill of Materials.
CRA für Embedded und Firmware
Warum Firmware Hersteller-SBOM plus aus Binary abgeleitetes Inventar braucht, und wie HEX-/verschlüsselte Images abweichen.
CRA-Konformitäts-Checkliste
Eine praktische Checkliste, die jede CRA-Pflicht darauf abbildet, was Ihr Team tun muss.
Build-Umgebungs-SBOM
Toolchain und Build-Zeit-Abhängigkeiten für technische Dokumentation: nützliche Tiefe, aber nicht das, was die Meldung im Sep. 2026 verlangt.
Diese Seite bietet allgemeine Informationen zum EU Cyber Resilience Act und ist keine Rechtsberatung. Die Verordnung und ihre harmonisierten Normen entwickeln sich weiter: konsultieren Sie die offiziellen Quellen von EU, ENISA und BSI sowie qualifizierten Rechtsbeistand für Ihr konkretes Produkt. alloy-it hilft bei Produktinventar, SBOM-Überwachung, Triage, Nachweisen zu Artikel 14 und dem Neubau-Pfad; es ist keine CE-Kennzeichnungssoftware, keine notifizierte Stelle und reicht keine Berichte bei ENISA oder nationalen CSIRTs ein.
Bereit vor dem 11. September 2026
Lebendes Inventar, KEV/EUVD-Überlagerung, Kenntnisuhr und SRP-fertiger Export, ohne Behördenmeldung mit Kunden-E-Mail zu verwechseln.