Dieser Beitrag ist ein Entwurf und wird noch fachlich geprüft.
Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Das gilt auch für Produkte, die bereits vor diesem Datum auf den Markt gebracht wurden.
| Gültig seit | 11.09.2026 |
|---|---|
| Rechtsgrundlage | Art. 14 Verordnung (EU) 2024/2847 (Cyber Resilience Act) |
| Betroffen | Hersteller von Produkten mit digitalen Elementen |
Was gemeldet werden muss
Die Meldepflicht umfasst zwei Fälle: aktiv ausgenutzte Schwachstellen in einem Produkt und schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts beeinträchtigen. Gemeldet wird über eine zentrale Meldeplattform an das als Koordinator benannte CSIRT und an die ENISA.
Die Fristen
- Frühwarnung binnen 24 Stunden, nachdem der Hersteller Kenntnis erlangt hat.
- Meldung mit ersten Einzelheiten binnen 72 Stunden.
- Abschlussbericht – bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme, bei Vorfällen binnen eines Monats nach der Meldung.
Zusätzlich sind die Nutzer des Produkts über die Schwachstelle oder den Vorfall und mögliche Gegenmaßnahmen zu informieren.
Was das organisatorisch bedeutet
24 Stunden sind kurz. Wer erst im Ernstfall klärt, wer entscheidet, ob eine Schwachstelle „aktiv ausgenutzt“ ist, verliert diese Zeit. Hersteller brauchen deshalb vorab:
- eine erreichbare Kontaktstelle für Schwachstellenmeldungen,
- eine klare Eskalationskette mit Vertretungsregel – auch an Wochenenden,
- ein aktuelles Komponentenverzeichnis (SBOM), um Betroffenheit schnell zu prüfen,
- vorbereitete Meldevorlagen und eine dokumentierte Entscheidungslogik.
Was daraus folgt
Die Meldepflicht ist der erste Teil des CRA, der praktisch wirkt – und ein guter Anlass, den gesamten Vulnerability-Prozess zu prüfen. Die übrigen Anforderungen gelten ab dem 11. Dezember 2027.
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex
- Europäische Kommission: CRA – Reporting obligations
Dieser Beitrag ist eine technische Einordnung und ersetzt keine Rechtsberatung. Maßgeblich sind die Primärquellen.