Artikel 14 des Cyber Resilience Act, Verordnung (EU) 2024/2847, gilt seit dem 11. September 2026. Ab diesem Tag hat ein Hersteller, der von einer aktiv ausgenutzten Schwachstelle in einem Produkt erfährt, das er auf dem EU-Markt in Verkehr gebracht hat, 24 Stunden Zeit für eine Frühwarnung. Die Frühwarnung geht gleichzeitig an zwei Stellen: an die ENISA und an das als Koordinator benannte CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Beide erhalten sie über die zentrale Meldeplattform, die die ENISA nach Artikel 16 betreibt.
Jeder Artikel über die Pflicht kommt bis hierher und sagt dann „melden Sie an Ihr nationales CSIRT“. Keiner sagt, an welches. Bis zum 10. September 2026 konnte es auch keiner, weil es keine öffentliche Liste der Koordinatoren gab. An diesem Tag, dem Tag vor der Eröffnung der Plattform, hat die ENISA eine veröffentlicht. Das ist sie.
Die Tabelle
Dies sind die nach Artikel 12(1) der NIS2-Richtlinie als Koordinator benannten CSIRTs, wie die ENISA sie am 10. September 2026 veröffentlicht hat, abgelesen am 12. September 2026. Die ENISA gibt je Staat ein Land und eine oder mehrere Kontaktseiten an, keine Teamnamen; die Namen unten sind die, die die verlinkten Seiten für sich selbst verwenden. Der Link ist die erste Seite, die die ENISA für den Staat angibt.
| Mitgliedstaat | Koordinator | Voller Name | Kontaktseite laut ENISA |
|---|---|---|---|
| Österreich | CERT.at | Computer Emergency Response Team Austria | cert.at |
| Belgien | CCB | Centre for Cybersecurity Belgium | ccb.belgium.be |
| Bulgarien | CERT Bulgaria | CERT Bulgaria | govcert.bg |
| Kroatien | NCSC-HR | National Cyber Security Centre of Croatia | ncsc.hr |
| Zypern | CSIRT-CY | National CSIRT-CY | csirt.cy |
| Tschechien | NÚKIB | National Cyber and Information Security Agency | nukib.gov.cz |
| Dänemark | FE DDIS | Danish Defence Intelligence Service, formerly CFCS | fe-ddis.dk |
| Estland | CERT-EE | CERT Estonia | ria.ee |
| Finnland | NCSC-FI | National Cyber Security Centre Finland | kyberturvallisuuskeskus.fi |
| Frankreich | CERT-FR | CERT-FR | cert.ssi.gouv.fr |
| Deutschland | CERT-Bund | CERT-Bund at the BSI | bsi.bund.de |
| Griechenland | EL-CSIRT | National Cyber Security Authority CSIRT | cyber.gov.gr |
| Ungarn | NCSC Hungary | National Cyber Security Center of Hungary | ncsc.gov.hu |
| Irland | CSIRT-IE | National Cyber Security Centre Ireland | ncsc.gov.ie |
| Italien | CSIRT Italia | Computer Security Incident Response Team Italia | acn.gov.it |
| Lettland | CERT.LV | Information Technologies Security Incident Response Institution | cert.lv |
| Litauen | CERT-LT | National CERT of Lithuania | nksc.lt |
| Luxemburg | CIRCL | Computer Incident Response Center Luxembourg | circl.lu |
| Malta | MT-CSIRT | MT-CSIRT | mita.gov.mt |
| Niederlande | NCSC-NL | Nationaal Cyber Security Centrum | ncsc.nl |
| Polen | CERT Polska | CERT Polska | cert.pl |
| Portugal | CERT.PT | CERT.PT at the CNCS | cncs.gov.pt |
| Rumänien | DNSC | Romanian National Cyber Security Directorate | dnsc.ro |
| Slowakei | SK-CERT | SK-CERT | sk-cert.sk |
| Slowenien | SI-CERT | Slovenian Computer Emergency Response Team | cert.si |
| Spanien | INCIBE-CERT | INCIBE-CERT | incibe.es |
| Schweden | CERT-SE | CERT-SE | cert.se |
Dieselbe Tabelle, aktuell gehalten und in sechs Sprachen gerendert, steht auf der Seite zu den Meldefristen, neben einem Rechner für die drei Fristen.
Wo der Koordinator nicht das nationale CSIRT ist
Zwei Staaten haben eine andere Stelle benannt als das Team, das das EU-CSIRTs-Netzwerk als ihr nationales CSIRT führt. In Tschechien ist der Koordinator das NÚKIB, die Nationale Behörde für Cyber- und Informationssicherheit, während das Netzwerk CSIRT.CZ führt. In Kroatien ist es das NCSC-HR, das nationale Zentrum für Cybersicherheit, während das Netzwerk CERT.hr führt. Ein Hersteller in einem dieser Staaten, der das nationale CSIRT auf Grundlage der Netzwerkliste in sein Vorfallsverfahren geschrieben hat, was dieser Artikel bis zur Veröffentlichung der Koordinatoren empfohlen hat, hat das falsche Team darin stehen. Das wiegt schwerer als vor einer Woche: Die eigenen FAQ der ENISA sagen, eine beim falschen Koordinator eingereichte Meldung könne für ungültig erklärt werden und müsse erneut eingereicht werden.
Zwei weitere Staaten haben zwei nationale Teams im Netzwerk, und die ENISA nennt jeweils eines: CIRCL für Luxemburg, nicht GOVCERT.LU, und CERT Polska für Polen, nicht CSIRT-GOV. Überall sonst ist der Koordinator das nationale CSIRT.
Die Regel, die den Mitgliedstaat bestimmt
Artikel 14(7) entscheidet, welcher Koordinator die Meldung erhält, und es ist eine Regel über das Unternehmen, nicht darüber, wo die Schwachstelle ausgenutzt wurde oder wo die betroffenen Nutzer sitzen.
- Der Mitgliedstaat, in dem der Hersteller seine Hauptniederlassung in der Union hat; die Verordnung definiert sie als den Staat, „in dem die Entscheidungen im Zusammenhang mit der Cybersicherheit seiner Produkte mit digitalen Elementen überwiegend getroffen werden“. Lässt sich das nicht bestimmen, der Staat, in dem der Hersteller die meisten Beschäftigten in der Union hat.
- Hat der Hersteller keine Hauptniederlassung in der Union, der Mitgliedstaat seines Bevollmächtigten.
- Andernfalls der Mitgliedstaat, in dem der Einführer niedergelassen ist, und dann der Händler.
- Trifft nichts davon zu, der Mitgliedstaat, in dem nach Kenntnis des Herstellers die meisten Nutzer sitzen.
Ein Hersteller in Österreich mit Kunden in der ganzen EU meldet also an CERT.at, einmal, für die ganze EU. Ein Hersteller außerhalb der EU mit einem Bevollmächtigten in Irland meldet an den irischen Koordinator. Sie melden einmal. Die FAQ der ENISA ergänzen die Folgerung, die die Verordnung nur andeutet: eine Meldung je Schwachstelle oder Vorfall für den gesamten Konzern, wie viele EU-Tochtergesellschaften er auch hat, und die interne Abstimmung, damit sie einmal eingereicht wird, ist Sache des Herstellers. Die Weitergabe der Meldung an die Koordinatoren anderer Mitgliedstaaten und die Marktüberwachungsbehörden ist nach den Artikeln 14 und 16 Aufgabe der Plattform und des empfangenden CSIRT, nicht Ihre.
Was Sie damit vor Stunde null tun sollten
Drei Dinge, in dieser Reihenfolge, und jedes dauert Minuten.
Schreiben Sie Ihren Mitgliedstaat und Ihren Koordinator auf. Wenden Sie die Regel aus Artikel 14(7) auf Ihr Unternehmen an, suchen Sie die Zeile und tragen Sie die Antwort in dasselbe Dokument ein, das benennt, wer die Meldung einreicht. In Stunde dreiundzwanzig eines Vorfalls sollte niemand diesen Artikel zum ersten Mal lesen, und niemand sollte zwischen zwei Einträgen eines Auswahlmenüs wählen müssen.
Legen Sie die EU-Login-Konten jetzt an; registrieren Sie sich auf der Plattform, wenn Sie sie brauchen. Die Plattform läuft über EU Login und verlangt Multi-Faktor-Authentifizierung auf dem persönlichen Konto der Person, die meldet. Dieses Konto kann und sollte angelegt werden, bevor Sie es je brauchen, für die Person, die meldet, und für ihre Vertretung, denn die 24-Stunden-Uhr macht keine Pause für den Jahresurlaub. Die Registrierung auf der Plattform selbst ist etwas anderes: Die ENISA rät Herstellern, sich erst dann zu registrieren und die Prüfung ihres Vertreters durch den Koordinator erst dann anzustoßen, wenn sie eine konkrete Meldung einzureichen haben, und sagt, die Registrierung dauere wenige Minuten, sobald das EU-Login besteht. Wie die Plattform funktioniert, Schritt für Schritt, ist ein eigener Artikel.
Entscheiden Sie, was „Kenntnis erlangen“ für Sie bedeutet. Die 24-Stunden- und die 72-Stunden-Uhr laufen beide ab dem Moment der Kenntnis, und die Leitlinien der Kommission vom 27. Juli 2026 setzen die Schwelle bei einer hinreichenden Gewissheit, dass eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt wird: nicht das erste Gerücht, nicht die abgeschlossene Forensik. Ein Team, das nicht entschieden hat, ob eine Scanner-Warnung, eine Kunden-E-Mail oder ein bestätigter Exploit der Auslöser ist, wird darüber streiten, während die Stunden laufen.
Die 24 und 72 Stunden sind die Fristen, die alle zitieren. Der Abschlussbericht hat einen anderen Anker, und die meisten Darstellungen bekommen ihn falsch.
Quellen
- Verordnung (EU) 2024/2847, Artikel 14(1), (2), (7) und Artikel 16 sowie Artikel 71(2) für den Geltungsbeginn.
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 12(1), die Benennung des Koordinators.
- ENISA, „List of CSIRTs Designated as Coordinators“, zuletzt aktualisiert am 10. September 2026, abgelesen am 12. September 2026.
- Die Mitgliederliste des CSIRTs-Netzwerks, csirtsnetwork.eu, abgelesen am 4. September 2026, für die nationalen CSIRTs, mit denen die Koordinatoren verglichen werden.
- ENISA, FAQ und Leitfäden zur zentralen Meldeplattform, aktualisiert am 9. bis 11. September 2026.
- Leitlinien der Europäischen Kommission C(2026) 5252 vom 27. Juli 2026 zu den Meldepflichten.
Dies ist keine Rechtsberatung. Artikel 14 ist anderthalb Seiten lang, und die Artikelverweise oben stehen dort, damit Sie ihn selbst lesen können.