Meldepflichten ab dem 11. September 2026

Der Cyber Resilience Act (CRA) hat drei Geltungstermine, und der zweite davon ist der 11. September 2026. Ab diesem Tag gilt Artikel 14: die Pflicht, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden. Der Rest der Verordnung folgt nach Artikel 71 Absatz 2 erst am 11. Dezember 2027, nur Kapitel IV mit den Vorschriften über die Notifizierung von Konformitätsbewertungsstellen gilt schon seit dem 11. Juni 2026.

Was am 11. September gilt und was noch nicht

Am 11. September 2026 wird der CRA nicht als Ganzes wirksam. CE-Kennzeichnung, Konformitätsbewertung, technische Dokumentation und die grundlegenden Cybersicherheitsanforderungen kommen erst 2027. Fällig ist zunächst nur Artikel 14, dafür aber vollständig: die Meldung an die Behörden, die Nachlieferung von Details und die Unterrichtung der eigenen Nutzer.

Ein Punkt daran wird leicht übersehen. Artikel 69 Absatz 2 nimmt Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, grundsätzlich von den Anforderungen der Verordnung aus, solange sie nach diesem Zeitpunkt keine wesentliche Änderung erfahren. Artikel 69 Absatz 3 macht davon genau eine Ausnahme, und zwar für Artikel 14: Die Meldepflichten gelten für alle Produkte im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Wer heute eine gepflegte Produktlinie im Feld hat, ist ab dem 11. September 2026 also mit dem gesamten Bestand betroffen, nicht erst mit dem nächsten Release.

Zwei Auslöser, nicht einer

Artikel 14 kennt zwei getrennte Meldeanlässe mit jeweils eigenem Fristenlauf.

• Die aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen, sobald der Hersteller davon Kenntnis erlangt (Absatz 1).
• Der schwerwiegende Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit (Absatz 3).

Wann ein Vorfall als schwerwiegend gilt, legt Absatz 5 fest, und zwar in zwei Alternativen. Entweder wirkt er sich negativ auf die Fähigkeit des Produkts aus oder kann sich negativ darauf auswirken, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen. Oder er hat zur Einführung oder Ausführung von böswilligem Code im Produkt oder im Netz- und Informationssystem eines Nutzers geführt, beziehungsweise kann dazu führen. Beide Alternativen enthalten das Wort „kann“. Der Schaden muss nicht eingetreten sein.

Der Takt: 24 Stunden, 72 Stunden, Abschlussbericht

Beide Anlässe folgen derselben dreistufigen Abfolge, aber die letzte Stufe läuft unterschiedlich.

• Unverzüglich, in jedem Fall aber innerhalb von 24 Stunden ab Kenntnis: die Frühwarnung. Bei einer Schwachstelle nennt sie die Mitgliedstaaten, in deren Hoheitsgebiet das Produkt nach Kenntnis des Herstellers bereitgestellt wurde. Bei einem Vorfall ist zumindest anzugeben, ob der Verdacht auf rechtswidrige oder böswillige Handlungen besteht.
• Unverzüglich, in jedem Fall aber innerhalb von 72 Stunden ab Kenntnis: die eigentliche Meldung. Sie enthält, soweit verfügbar, allgemeine Informationen über das Produkt, über die Art der Ausnutzung und der Schwachstelle beziehungsweise über Art und erste Bewertung des Vorfalls, dazu die ergriffenen Korrektur- oder Risikominderungsmaßnahmen und die Maßnahmen, die Nutzer selbst ergreifen können.
• Der Abschlussbericht ist bei einer Schwachstelle spätestens 14 Tage fällig, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht. Bei einem Vorfall dagegen innerhalb eines Monats nach der 72-Stunden-Meldung. Die Uhr läuft also einmal ab der Verfügbarkeit einer Lösung und einmal ab der vorangegangenen Meldung.

Zwischen diesen Stufen kann das als Koordinator benannte CSIRT nach Absatz 6 einen Zwischenbericht mit Statusaktualisierungen anfordern. Wer Informationen bereits vorgelegt hat, muss sie nicht wiederholen: Die Stufen zwei und drei greifen jeweils nur, soweit die einschlägigen Informationen nicht schon übermittelt wurden.

Wohin die Meldung geht

Gemeldet wird gleichzeitig an zwei Stellen: an das als Koordinator benannte CSIRT und an ENISA. Der Weg dorthin ist die einheitliche Meldeplattform nach Artikel 16. Die ENISA richtet sie ein und betreibt sie, mit Endpunkten für die elektronische Meldung.

Welches CSIRT zuständig ist, richtet sich nach Absatz 7 und sollte vor dem ersten Ernstfall feststehen. Maßgeblich ist der Mitgliedstaat der Hauptniederlassung in der Union, und das ist der Staat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden. Lässt sich das nicht bestimmen, zählt die Niederlassung mit der höchsten Beschäftigtenzahl in der Union. Hersteller ohne Hauptniederlassung in der Union arbeiten eine feste Reihenfolge ab: Bevollmächtigter, Einführer, Händler, und zuletzt der Mitgliedstaat mit den meisten Nutzern.

Die Nutzer sind mitgemeint

Artikel 14 endet nicht bei den Behörden. Nach Absatz 8 informiert der Hersteller auch die betroffenen Nutzer über die Schwachstelle oder den Vorfall und erforderlichenfalls über die Maßnahmen, die sie selbst ergreifen können. Gegebenenfalls sind alle Nutzer zu informieren, gegebenenfalls in einem strukturierten, maschinenlesbaren Format, das leicht automatisch zu verarbeiten ist. Das doppelte „gegebenenfalls“ steht so in der Verordnung: Beides ist bedingt, der Kreis der Empfänger wie die Form. Unterbleibt diese Unterrichtung der Nutzer rechtzeitig, können die als Koordinatoren benannten CSIRTs sie den Nutzern selbst zur Verfügung stellen, wenn sie das für verhältnismäßig und erforderlich halten, um die Auswirkungen zu verhindern oder abzumildern.

Was das für die Vorbereitung heißt

Die 24-Stunden-Frist ist der eigentliche organisatorische Anspruch. Sie läuft ab Kenntnis, nicht ab Bürobeginn, und sie kennt kein Wochenende. Was bis zum 11. September 2026 stehen sollte:

• eine Erreichbarkeit rund um die Uhr mit klarer Vertretungsregelung und der Befugnis, eine Meldung auch nachts abzusetzen,
• ein Produktverzeichnis, aus dem sich in Minuten beantworten lässt, in welchen Mitgliedstaaten ein Produkt bereitgestellt wurde und wer die betroffenen Nutzer sind,
• das zuständige CSIRT samt Zugang zum Meldeendpunkt, festgestellt und dokumentiert, bevor der Ernstfall eintritt,
• ein Entscheidungsweg für die Frage, ob ein Vorfall die Schwelle des Absatzes 5 erreicht, denn diese Einschätzung darf nicht erst im Ereignis beginnen,
• Textbausteine für Frühwarnung, Meldung und Nutzerinformation, weil unter Zeitdruck niemand mehr formuliert.

Ein Wort zu den Folgen: Verstöße gegen Artikel 14 fallen nach Artikel 64 Absatz 2 in die höchste Bußgeldstufe der Verordnung, bis zu 15 000 000 Euro oder bei Unternehmen bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Artikel 64 Absatz 10 Buchstabe a nimmt Hersteller, die als Kleinst- oder Kleinunternehmen gelten, für das Versäumen der 24-Stunden-Frist von den Geldbußen nach den Absätzen 3 bis 9 aus. Die Meldung selbst schuldet auch, wer klein ist. Für Verwalter quelloffener Software gilt Artikel 14 nur eingeschränkt, und Geldbußen treffen sie nach Artikel 64 Absatz 10 Buchstabe b überhaupt nicht.

Festgelegt ist der Weg der Meldung, nicht ihre Form. Wie die Angaben aus den Absätzen 2 und 4 strukturiert sein müssen, schreibt die Verordnung nicht vor; Format und Verfahren kann die Kommission nach Absatz 10 durch Durchführungsrechtsakte präzisieren, und die Eingabemasken der Meldeplattform stehen erst mit der Plattform selbst fest. Für die Vorbereitung zählt deshalb der Wortlaut des Artikels 14: Er sagt, welche Inhalte zu liefern sind.