Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die Pflicht folgt aus Art. 14 des Cyber Resilience Act (Verordnung (EU) 2024/2847). Am selben Tag hat die ENISA die zentrale Meldeplattform, die Single Reporting Platform, freigeschaltet. Die übrigen Pflichten der Verordnung, etwa CE-Kennzeichnung und Konformitätsbewertung, gelten erst ab dem 11. Dezember 2027.
Wer muss melden?
Meldepflichtig sind Hersteller von Hardware und Software mit digitalen Elementen im Anwendungsbereich des CRA, also etwa vernetzte Verbrauchergeräte, Industriesteuerungen, eigenständige Software und zugehörige Datenverarbeitungslösungen aus der Ferne. Entscheidend ist: Die Meldepflicht gilt auch für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Wer heute Geräte im Markt hat, ist betroffen, auch wenn die Produkte noch keine CE-Kennzeichnung nach dem CRA tragen.
Meldefristen nach Art. 14 CRA
| Stufe | Frist ab Kenntnis |
|---|---|
| Frühwarnung | 24 Stunden |
| Meldung mit erster Bewertung | 72 Stunden |
| Abschlussbericht bei aktiv ausgenutzter Schwachstelle | 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist |
| Abschlussbericht bei schwerwiegendem Vorfall | ein Monat nach der 72-Stunden-Meldung |
Nach den Leitlinien der Kommission vom 27. Juli 2026 beginnt die Frist, sobald der Hersteller nach einer ersten Prüfung mit hinreichender Sicherheit von einer Ausnutzung oder Kompromittierung ausgeht. Ausnutzungen, die vor dem 11. September 2026 bekannt waren, müssen nicht nachgemeldet werden. Zusätzlich sind betroffene Nutzer zu informieren, gegebenenfalls alle Nutzer.
So funktioniert die Meldung
Gemeldet wird einmal über die Plattform der ENISA, gleichzeitig an die ENISA und das als Koordinator benannte CSIRT, in der Regel das des Mitgliedstaats der Hauptniederlassung in der EU. Für Deutschland ist das BSI zuständig. Der Zugang läuft über EU Login mit Zwei-Faktor-Authentifizierung. Je Hersteller gibt es einen primären und bis zu 20 weitere Vertreter. Zum Start ist die Plattform nur per Webformular und in englischer Sprache nutzbar. Die Wahl eines falschen Koordinators kann eine Meldung unwirksam machen.
Die Delegierte Verordnung (EU) 2026/881 regelt, wann ein CSIRT eine Meldung zurückhalten darf, bevor es sie weitergibt. Sie ändert nichts an den Fristen für Hersteller.
Bußgelder
Verstöße gegen die Meldepflichten können mit bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Verhältnis zu NIS2 und DSGVO
Ein Vorfall kann gleichzeitig eine CRA-Meldung, eine Meldung nach NIS2 an das BSI und eine Datenpannenmeldung nach Art. 33 DSGVO auslösen. Die Fristen und Empfänger unterscheiden sich. Wir empfehlen ein gemeinsames Incident-Playbook mit klarer Zuordnung, wer welche Meldung entscheidet und absendet.
Was Hersteller jetzt brauchen
- Registrierung der Vertreter auf der Plattform, bevor der erste Fall eintritt.
- Ein Prozess für die Bewertung eingehender Schwachstellenhinweise mit Rufbereitschaft auch am Wochenende.
- Aktuelle Software-Stücklisten (SBOM), um betroffene Produkte schnell zu identifizieren.
- Verträge mit Zulieferern, die Informationspflichten über Schwachstellen in Komponenten regeln.
Quellen: Art. 14 VO (EU) 2024/2847; Leitlinien der Kommission vom 27. Juli 2026; Delegierte VO (EU) 2026/881.
Fragen dazu? Wir richten mit Ihnen Meldeprozesse und Lieferantenverträge ein. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu Cyber Resilience Act, NIS2, Cyberangriff und Datenpanne melden.
Schreibe einen Kommentar