Wie man nach dem CRA an CERT-Bund meldet

1. Wer Ihre Meldung erhält: BSI und CERT-Bund

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Bundesbehörde für Informationssicherheit, und CERT-Bund ist das darin arbeitende Team. Das BSI sitzt in Bonn, beschäftigt weit über tausend Menschen und ist zugleich Zertifizierungsstelle.

Die Kette ist genau diese: die Behörde als Institution, CERT-Bund als operatives Team, das Ihre Meldung liest und zusammen mit der ENISA den in Art. 14 vorgesehenen Empfänger bildet.

Das BSI ist eine Bundesoberbehörde mit Sitz in Bonn und dem größten technischen Apparat unter den europäischen Cybersicherheitsagenturen. CERT-Bund ist sein operatives Team: es nimmt Meldungen entgegen, korreliert sie und gibt Warnungen heraus. Für einen Hersteller ist das BSI die Institution, CERT-Bund die Stelle, die Ihren Text tatsächlich liest.

2. Der nationale Kanal in der Praxis

Die Sprache der Meldung ist Deutsch. Das BSI veröffentlicht Warnungen und Bulletins auf Deutsch und unterhält getrennte Kanäle für Betreiber regulierter Sektoren und für Hersteller: welcher für Zwecke des CRA gilt, folgt der nationalen Umsetzung.

Wer bereits als NIS-Einrichtung meldet, kennt diesen Weg. Der CRA ersetzt ihn nicht und geht nicht in ihm auf: zwei getrennte Pflichten mit unterschiedlichen Voraussetzungen, die aus demselben Ereignis gleichzeitig entstehen können.

CERT-Bund · offizielle Website

3. Das Umfeld, in dem er steht

Deutschland hat mit dem NIS2-Umsetzungsgesetz das BSI als zentrale nationale Behörde bestätigt. Das Ergebnis ist ein Ökosystem, in dem CERT-Bund für den größten Teil der cyberbezogenen Meldepflichten die operative Anlaufstelle bildet.

Für den CRA ist das keine automatische Antwort: die Benennung des CSIRT, das Herstellermeldungen entgegennimmt, folgt der nationalen Umsetzung der Verordnung. Prüfen Sie die geltende Benennung vor der Einreichung; leiten Sie sie nicht aus der NIS2 ab.

Ein letzter praktischer Punkt: das BSI ist zugleich Zertifizierungsstelle und pflegt neben seiner Rolle im europäischen Rahmen langjährige nationale Schemata. Fällt Ihr Produkt unter die kritischen und braucht eine Zertifizierung, ist der Ansprechpartner dieselbe Behörde, die Ihre Meldungen erhält. In Deutschland ist diese Bündelung ausgeprägter als anderswo.

4. Wie eingereicht wird, kurz gefasst

Die Einreichung ist keine E-Mail an die Behörde: sie läuft über die zentrale Meldeplattform nach Art. 16, und der Zugang verlangt vorher validierte EU-Login-Zugangsdaten.

Die Fristenkette — 24 Stunden, 72 Stunden, Abschlussbericht — ist unionsweit dieselbe und steht vollständig auf der Seite zu Art. 14. Beim anderen Auslöser des Artikels ändert sich die Schlussfrist: sie steht auf der Seite zum schwerwiegenden Sicherheitsvorfall.

5. Was vor einem Vorfall vorzubereiten ist

Fünf Dinge, in Ruhe geordnet, entscheiden darüber, ob eine Meldung rechtzeitig oder zu spät eingeht. Das erste ist der Kontaktpunkt zu CERT-Bund, benannt und validiert, mit benannter Vertretung: am Tag des Falls sucht man nicht erst, wer die Zugangsdaten hat.

In Deutschland lohnt es sich, früh zu klären, ob Ihr Unternehmen beim BSI bereits für andere Pflichten registriert ist: Kontaktpunkt und Zugangsdaten können sich teilweise decken, und das in Ruhe zu klären ist mehr wert, als es am Tag des Falls zu entdecken.

Und ein Hinweis zur Zeit: Deutschland liegt auf CET/CEST, und die Länder haben unterschiedliche Feiertage. Die vierundzwanzig Stunden des Art. 14 kennen keine Feiertage, weder regionale noch bundesweite. Folgt Ihre Rufbereitschaft einem lokalen Kalender, prüfen Sie, ob sie auch die Tage abdeckt, an denen nur in einem Land geschlossen ist.

Dieser Leitfaden gibt unsere Lesart des Verordnungstextes und der öffentlichen Verfahren wieder; er ist keine Rechtsberatung, und die operativen Details der Plattform können sich ändern.