EU CRA Artikel 14 Berichtspflicht beginnt am 11. September 2026

Ab dem 11. September 2026 treten die ersten Berichtspflichten nach dem europäischen Cyber Resilience Act (CRA) für Hersteller von Software und vernetzten Produkten in Kraft, einschließlich Open-Source-Maintainer, die als Open-Source-Stewards behandelt werden. Patchstack-CEO Oliver Sild legte die neuen Pflichten nach Artikel 14 in einem am 11. September 2026 veröffentlichten Beitrag dar und erklärte, dass die Regeln nicht nur für kommerzielle Produkthersteller gelten, sondern auch für Open-Source-Projekte ohne kommerzielle Absicht. Das Gesetz verlangt die Meldung von zwei Situationen: Schwachstellen, die von Angreifern aktiv ausgenutzt werden, und schwerwiegende Sicherheitsvorfälle, die Produkte betreffen. Meldungen müssen an nationale Cybersicherheitsbehörden und die EU-Cybersicherheitsagentur ENISA über eine einzige EU-Plattform erfolgen.

Die Unterscheidung zwischen einem Hersteller und einem Open-Source-Steward ist wichtig, weil sie mögliche Strafen bestimmt. Patchstack verwendet ein WordPress-Plugin als Beispiel. Ein Plugin, dessen Code GPL-lizenziert und Open Source ist, aber eine Premium-Version oder ein anderes Erlösmodell hat, macht seinen Verkäufer zu einem Hersteller, nicht zu einem Open-Source-Steward. Ein völlig kostenloses und quelloffenes WordPress-Plugin ohne kommerzielle Absicht, das von Mitarbeitern einer juristischen Person gepflegt wird, würde stattdessen als Open-Source-Steward gelten. Die Pflichten nach Artikel 14 gelten für beide Gruppen, aber Open-Source-Stewards können nicht mit Geldstrafen belegt werden; die EU kann dennoch andere Mittel einsetzen, um ein nicht konformes Produkt vom europäischen Markt zu entfernen. Dies gilt für alle Open-Source-Software-Ökosysteme, nicht nur für WordPress, und die Regel erfasst alle Produkte und Software, auch wenn sie vor dem 11. September 2026 auf dem europäischen Markt bereitgestellt wurden.

Zwei getrennte Fälle müssen gemeldet werden: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Jede Meldung besteht aus drei Formularen mit separaten Fristen. Eine Frühwarnung muss unverzüglich und innerhalb von 24 Stunden nach Kenntnisnahme eingereicht werden. Eine ausführlichere Benachrichtigung ist unverzüglich und innerhalb von 72 Stunden fällig, mit allgemeinen Informationen und einer ersten Einschätzung. Bei aktiv ausgenutzten Schwachstellen ist ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme wie eines Patches fällig. Bei schwerwiegenden Vorfällen ist der Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Benachrichtigung fällig. Hersteller müssen auch betroffene Nutzer darüber informieren, was passiert ist und wie sie sich schützen können.

Die Meldung muss über die EU Single Reporting Platform erfolgen, oft SRP genannt. Maintainer müssen zunächst ein persönliches EU-Login-Konto erstellen, was Multi-Faktor-Authentifizierung (MFA) erfordert. Die SRP hat keine API, und die Plattform verlangt, dass drei verschiedene Formulare für jede Meldung manuell ausgefüllt werden. Da die erste Frist nur 24 Stunden beträgt, rät Patchstack, EU-Konten sofort zu erstellen, damit Maintainer die Frist einhalten können, wenn eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall auftritt.

Um Open-Source-Maintainern bei diesen Pflichten zu helfen, hat Patchstack eine frei zugängliche Plattform für verwaltetes CRA-Artikel-14-Reporting gestartet. Der Dienst umfasst drei Hauptfunktionen. Patchstack verfolgt die aktive Ausnutzung einzelner Schwachstellen, sammelt Beweise und benachrichtigt den Maintainer, wenn die Anforderungen nach Artikel 14 greifen. Patchstack kann als offizieller Assigned Representative (AR) für den Maintainer fungieren, die Berichtspflichten erfüllen und sicherstellen, dass die Fristen für jedes Formular eingehalten werden. Die Plattform bietet außerdem ein Single-Channel Managed Vulnerability Disclosure Program (mVDP) und ein Bug-Bounty-Programm für ein oder mehrere Softwareprodukte. Patchstack gibt an, dass seine mVDP-Plattform zu diesem Zweck in Zusammenarbeit mit dem European Innovation Council (EIC) der Europäischen Union entwickelt wurde, und das Unternehmen ist GDPR-konform und nach ISO 27001 und SOC 2 Type 2 zertifiziert. Mehr als 1000 Open-Source-Produkte und -Projekte nutzen bereits das Patchstack mVDP zur Schwachstellenkoordination. Das Unternehmen erklärt, dass es mehr als 50 Prozent aller bekannten Schwachstellen im WordPress-Ökosystem koordiniert hat und eine der aktivsten CVE Numbering Authorities (CNAs) ist. Patchstack gibt außerdem an, dass seine Partnerschaften mit führenden Webhosting-Unternehmen und seine RapidMitigate-Technologie es in die Lage versetzen, eine schnelle und detaillierte Erkennung bekannter ausgenutzter Schwachstellen (KEV) anzubieten. Das Unternehmen merkt an, dass es in Zukunft eine Gebühr einführen könnte, um Artikel-14-Berichte pro Bericht abzudecken, falls das Volumen zu hoch wird und die Single Reporting Platform keine API einführt.

Für Website-Betreiber und Unternehmen sind die neuen EU-Regeln eine Erinnerung daran, dass die Software, auf die sie angewiesen sind, einschließlich WordPress-Plugins, Teil eines formellen Meldesystems ist, wenn Angreifer sie ausnutzen. Wenn ein Maintainer eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle erhält, sollten Nutzer eine zeitnahe Offenlegung und Korrekturen von verantwortungsvollen Projekten erwarten. AEU Hosting, ein Managed-WordPress-Hosting-Dienst, kann Website-Betreibern helfen, die routinemäßige WordPress-Sicherheitswartung und Updates zu bewältigen, was eine praktische Ergänzung zu diesen neuen Berichtspflichten darstellt; Leser sollten die AEU Hosting-Seite auf den genauen Umfang dieses Dienstes prüfen.