Meldepflicht nach Art. 14 CRA · seit 11.09.2026
Securist ist Ihr PSIRT – Ihr Product Security Incident Response Team – als Service: Wir übernehmen Annahme, Bewertung und Meldevorbereitung rund um die Uhr. In 4–6 Wochen startklar, ohne neue Vollzeitstelle.
Rechtsgrundlage: Verordnung (EU) 2024/2847 (Cyber Resilience Act)
Securist liefert den fertigen Meldeentwurf vor Fristablauf: 2 Minuten lesen, 1 Klick freigeben. (PRO und ENTERPRISE)
Ein typisches Szenario
Eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt. Ab jetzt haben Sie 24 Stunden. Wer nimmt am Wochenende ab – und wer weiß, was in die Meldung gehört?
Seit dem 11.09.2026 gilt die Meldepflicht über die ENISA-Plattform CRA-SRP – auch für Produkte, die bereits am Markt sind.
Fristen
24 h · 72 h · 14 Tage
Frühwarnung, Meldung mit Erstbewertung und Abschlussbericht nach Kenntnis einer aktiv ausgenutzten Schwachstelle. Bei schweren Sicherheitsvorfällen ist der Abschlussbericht innerhalb eines Monats nach der Vorfallsmeldung fällig.
Personal
≈ 545.000 € pro Jahr
kostet ein eigenes PSIRT mit 4–5 FTE inklusive 24/7-Rufbereitschaft – dazu 6–12 Monate Recruiting je Rolle in DACH.
Securist-Kalkulation, Richtwert
Bußgeld
bis 15 Mio. € oder 2,5 %
des weltweiten Jahresumsatzes bei Verstößen gegen Anhang I sowie die Pflichten aus Art. 13 und 14.
Art. 64 CRA
Die Lösung
Vom ersten Workshop bis zum Dauerbetrieb: Typisch 6–10 Wochen, bis Ihr PSIRT läuft. Danach arbeiten wir bei Schwachstellen mit, bis sie behoben sind – nicht nur bis zur Bewertung.
5-stündiger Workshop in 10 Blöcken – von den CRA-Grundlagen bis zur Tabletop-Übung an einem CVE-Szenario.
Ergebnis
Roadmap mit Top-5-Maßnahmen und Sourcing-Entscheidung
Onboarding in 5 Schritten: Scope, Vollmachten, Datenübergabe, Lieferanten-Outreach, Go-Live.
Ergebnis
PSIRT- und CVD-Policy, security.txt, SBOM-Aufbau, Monitoring, 24/7-Meldekontakt – in 4–6 Wochen
24/7-Annahme, Triage, Bewertung und Lösungsmitwirkung bis zur Behebung.
Ergebnis
Meldefähig rund um die Uhr – mit fertigen Meldeentwürfen zur Freigabe (PRO, ENTERPRISE)
So läuft eine Meldung
Wir nehmen an, bewerten und bereiten vor. Was Ihre Freigabe braucht, liegt rechtzeitig vor Fristablauf fertig auf dem Tisch.
T+0
Eingang über den CVD-Kanal, Authentifizierung, Eingangsbestätigung
Securist erledigt
T+2 h
Abgleich mit dem Digitalen Zwilling: Betroffen? Welche Produkte?
Securist erledigt
T+8 h
CVSS-Einstufung, Ausnutzungsbeleg prüfen, Freigabe einholen
Securist erledigt
T+24 h
Entwurf von Securist – Sie zeichnen ab und reichen ein
Sie geben frei
T+72 h
Meldung mit Mitigation-Status
Sie geben frei
+14 Tage
Nach verfügbarer Abhilfe
Sie geben frei
„2 Minuten lesen, 1 Klick freigeben.“
Die Einreichung bei ENISA bleibt nach Art. 17 Abs. 2 bei Ihnen – wir liefern den fertigen Entwurf (PRO und ENTERPRISE). Zeitangaben typisch, nicht garantiert.
Warum Securist
Anders als Beratungen betreiben wir. Anders als Tools denken wir mit. Und anders als IT-Dienstleister verstehen wir Produkte und OT.
Onboarding in 4–6 Wochen, 24/7 in jedem Bundle.
Wir arbeiten mit, bis die Schwachstelle behoben ist – nicht nur bis zur Bewertung.
Steuerungen, Embedded-Firmware, OPC UA, Modbus, PROFIBUS.
Der Digitale Zwilling Ihrer Produkte zeigt in Minuten statt Tagen, ob eine CVE Sie trifft.
Wir sagen offen, was beim Hersteller bleibt.
Eigenes Team oder Service?
So rechnet sich ein eigenes PSIRT, das die Fristen rund um die Uhr hält. Alle Annahmen stehen offen da.
| Rolle | FTE | Kosten pro Jahr |
|---|---|---|
| PSIRT-Lead | 1 | 110.000 € |
| Security Analyst / Incident Handler | 2 | 180.000 € |
| Kommunikation & ENISA-Meldung | 1 | 75.000 € |
| Techn. Experte OT/ICS | 1 | 100.000 € |
| 24/7-Rufbereitschaft | +30 % | 80.000 € |
| Summe | 4–5 FTE | ≈ 545.000 € |
4–6 Wochen bis Go-Live
statt 6–12 Monate Recruiting je Rolle
0 neue Vollzeitstellen
Ihr Team bleibt bei der Produktentwicklung
24/7 in jedem Bundle
Annahme, Triage und CVSS-Einstufung unbegrenzt
Planbares Jahresentgelt
statt Fixkosten für ein eigenes Team
Bundles
Meldungsannahme, Triage und CVSS-Einstufung sind in allen Bundles rund um die Uhr und unbegrenzt enthalten. Die Bundles unterscheiden sich in Reaktionszeit und Tiefe.
CRA-fähig ab Tag 1
12 h
Erstreaktion
Critical/High
Umfängliches Management
8 h
Erstreaktion
Critical/High
Autopilot und Advisor
4 h
Erstreaktion
Critical/High
Behördenmeldungen: Einreichung immer durch Sie (Art. 17 Abs. 2).
Ehrlich abgegrenzt
Ein Dienstleister kann Ihren Prozess betreiben. Die Verantwortung für Ihr Produkt kann er Ihnen nicht abnehmen. Wir sagen Ihnen genau, wo die Grenze liegt.
Delegierbar
Nicht delegierbar
Hosting in Deutschland – je Kunde eigene Instanzen in eigenen, abgeschotteten Netzwerken. Produktdaten verlassen die isolierte Analyseumgebung nie.
Orientiert an etablierten Standards
ISO/IEC 29147
Offenlegung von Schwachstellen
ISO/IEC 30111
Behandlung von Schwachstellen
FIRST PSIRT Services Framework v1.1
Referenzrahmen für PSIRTs
CSAF 2.0
maschinenlesbare Advisories
CycloneDX
Format für SBOMs
Häufige Fragen
Die wichtigsten Antworten auf einen Blick. Ausführlich erklärt im Wissensbereich.
Meldepflicht im Einzelfall prüfenPSIRT as a Service – auch Managed PSIRT – bedeutet: Ein spezialisierter Dienstleister betreibt das Product Security Incident Response Team eines Herstellers. Securist nimmt Schwachstellenmeldungen rund um die Uhr an, bewertet sie, arbeitet bis zur Behebung mit und unterstützt bei den Behördenmeldungen nach dem Cyber Resilience Act. Die Verantwortung für das Produkt bleibt beim Hersteller.
Seit dem 11.09.2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden (Art. 14 der Verordnung (EU) 2024/2847) – über die ENISA-Plattform CRA-SRP. Die Pflicht gilt auch für Produkte, die bereits am Markt sind. Vollständig anwendbar ist der CRA ab dem 11.12.2027.
24 Stunden für die Frühwarnung, 72 Stunden für die Meldung mit Erstbewertung und 14 Tage nach verfügbarer Abhilfe für den Abschlussbericht – so bei einer aktiv ausgenutzten Schwachstelle. Bei einem schweren Sicherheitsvorfall ist der Abschlussbericht innerhalb eines Monats nach der Vorfallsmeldung fällig. Eine nur gemeldete oder gefundene Schwachstelle löst keine Meldepflicht aus, Pentest-Befunde ebenso wenig.
Nach Securist-Kalkulation rund 545.000 € pro Jahr für 4–5 FTE inklusive 24/7-Rufbereitschaft, zuzüglich ca. 50.000–80.000 € Tooling pro Jahr. Für jede Rolle sind im DACH-Raum 6–12 Monate Recruiting einzuplanen. Die Werte sind Richtwerte.
Das Onboarding dauert 4–6 Wochen vom Kick-off bis zum Go-Live. Vom ersten Workshop bis zum laufenden PSIRT vergehen typisch 6–10 Wochen. Meldungsannahme, Triage und CVSS-Einstufung laufen danach in jedem Bundle rund um die Uhr.
Die Einreichung selbst bleibt nach Art. 17 Abs. 2 CRA beim Hersteller. Securist liefert in den Bundles PRO und ENTERPRISE den fertigen Meldeentwurf rechtzeitig vor Fristablauf – Ihr Aufwand: 2 Minuten lesen, 1 Klick freigeben.
Hosting in Deutschland – je Kunde eigene Instanzen in eigenen, abgeschotteten Netzwerken. Kommunikation und Analyse laufen in zwei strikt getrennten Systemen; Produktdaten verlassen die isolierte Analyseumgebung nie.
Für Hersteller von Maschinen, Steuerungen, IoT- und Embedded-Produkten im DACH-Raum, die die CRA-Meldepflicht ohne eigenes Security-Team erfüllen müssen. Securist ist auf Produkt- und OT-Security spezialisiert, etwa auf Steuerungen, Embedded-Firmware, OPC UA, Modbus und PROFIBUS.
Kostenloser 30-Minuten-CRA-Check
„In 30 Minuten wissen Sie, wo Sie stehen – und was als Nächstes zu tun ist.“
Im CRA-Check klären wir Ihre Pflichten, geben eine Sourcing-Empfehlung und skizzieren eine Roadmap für die nächsten 90 Tage.