Ab wann gelten die Meldepflichten?

Ab dem 11. September 2026, deutlich vor dem vollständigen Geltungsbeginn der Verordnung am 11. Dezember 2027. Die Meldepflichten sind damit die erste Anforderung des CRA, die in der Praxis scharf gestellt wird, und der Grund, warum die Prozesse dafür zuerst stehen sollten.

Müssen wir jede entdeckte Schwachstelle melden?

Nein. Meldepflichtig sind ausschließlich aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkung auf die Produktsicherheit. Eine Schwachstelle, die Sie selbst finden und schließen, ohne dass sie ausgenutzt wurde, ist zu dokumentieren und zu beheben, aber nicht zu melden.

Wer meldet, wenn die Schwachstelle in einer zugekauften Komponente steckt?

Sie, für Ihr Produkt. Die Pflicht knüpft an das Produkt an, das Sie in Verkehr gebracht haben, nicht an den Urheber des Codes. Dass der Komponentenhersteller seinerseits meldet, entlastet Sie nicht. Er meldet für sein Produkt, Sie für Ihres.

Cyber Resilience Act

Meldepflichten

Praxisbegriff

Die Meldepflichten stehen in Artikel 14 und sind die zeitkritischste Anforderung des gesamten Cyber Resilience Acts (CRA). Sie gelten ab dem 11. September 2026 und damit über ein Jahr vor dem vollständigen Geltungsbeginn der Verordnung.

Zwei Tatbestände

Gemeldet werden müssen zwei Dinge, jeweils sobald der Hersteller davon Kenntnis erlangt:

jede aktiv ausgenutzte Schwachstelle, die im Produkt enthalten ist
jeder schwerwiegende Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt

Beide gehen gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA, und zwar über die einheitliche Meldeplattform nach Artikel 16.

Die Fristen

Beide Tatbestände folgen demselben dreistufigen Aufbau. Nur der Abschluss unterscheidet sich:

Innerhalb von 24 Stunden ist die Frühwarnung fällig. Bei Schwachstellen enthält sie die Angabe der Mitgliedstaaten, in deren Hoheitsgebiet das Produkt nach Kenntnis des Herstellers bereitgestellt wurde; bei Vorfällen zumindest den Hinweis, ob ein rechtswidriges oder böswilliges Handeln vermutet wird.
Innerhalb von 72 Stunden folgt eine Meldung mit allgemeinen Informationen, soweit verfügbar, zum Produkt, zur Art der Ausnutzung beziehungsweise des Vorfalls und zu ergriffenen Maßnahmen.
Der Abschlussbericht ist bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist, einzureichen; bei Sicherheitsvorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.

Für Frühwarnung und 72-Stunden-Meldung beginnt die Frist mit der Kenntniserlangung, nicht mit dem Zeitpunkt des Ereignisses.

Warum die 24 Stunden das eigentliche Problem sind

Die Frist läuft kalendarisch. Ein Hinweis am Freitagabend bedeutet eine Meldung bis Samstagabend. Wochenenden, Feiertage und Urlaubspläne ändern daran nichts.

Einhalten lässt sich das nur mit drei vorab geklärten Punkten: Wer entscheidet, ob ein Befund die Schwelle erreicht? Wer ist außerhalb der Geschäftszeiten erreichbar und befugt zu melden? Und liegen die Produktangaben, die in die Frühwarnung gehören, ohne Recherche vor?

Der Engpass ist fast nie die Technik. Er ist die Entscheidung, und die kostet Stunden, wenn sie erst im Ernstfall getroffen wird.

Nutzer informieren ist eine getrennte Pflicht

Neben der Meldung an die Behörden verlangt der CRA die Unterrichtung der Nutzer: Die betroffenen Nutzer und gegebenenfalls alle Nutzer sind über die Schwachstelle oder den Vorfall zu informieren, erforderlichenfalls einschließlich der Maßnahmen, die sie selbst ergreifen können. Vorgesehen ist dafür gegebenenfalls ein strukturiertes, maschinenlesbares Format, das leicht automatisch zu verarbeiten ist.

Eine Behördenmeldung ersetzt diese Information also nicht. Beides läuft parallel und sollte im Prozess getrennt geführt werden.

Fragen aus der Praxis

: Ab dem 11. September 2026, deutlich vor dem vollständigen Geltungsbeginn der Verordnung am 11. Dezember 2027. Die Meldepflichten sind damit die erste Anforderung des CRA, die in der Praxis scharf gestellt wird, und der Grund, warum die Prozesse dafür zuerst stehen sollten.
: Nein. Meldepflichtig sind ausschließlich aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkung auf die Produktsicherheit. Eine Schwachstelle, die Sie selbst finden und schließen, ohne dass sie ausgenutzt wurde, ist zu dokumentieren und zu beheben, aber nicht zu melden.
: Sie, für Ihr Produkt. Die Pflicht knüpft an das Produkt an, das Sie in Verkehr gebracht haben, nicht an den Urheber des Codes. Dass der Komponentenhersteller seinerseits meldet, entlastet Sie nicht. Er meldet für sein Produkt, Sie für Ihres.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.