Cyber Resilience Act: Meldepflicht gilt, der Rest folgt 2027
Seit 11. September 2026 melden Hersteller ausgenutzte Schwachstellen und schwere Vorfälle über die ENISA-Plattform. Der volle CRA gilt ab Dezember 2027.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) legt Sicherheitsanforderungen für Hardware und Software fest, die in der EU verkauft wird. Seine erste Pflicht mit echtem Gewicht gilt jetzt, die Hauptanforderungen folgen in gut einem Jahr.
Was seit dem 11. September 2026 gilt
Hersteller von Produkten mit digitalen Elementen müssen zwei Arten von Ereignissen über die Single Reporting Platform der ENISA melden, die am 11. September 2026 gestartet ist:
- Aktiv ausgenutzte Schwachstellen in ihren Produkten: eine Frühwarnung innerhalb von 24 Stunden, nachdem sie davon Kenntnis erlangt haben, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist.
- Schwerwiegende Sicherheitsvorfälle, die die Sicherheit ihrer Produkte beeinträchtigen: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats nach der Meldung.
Die Meldung geht an das CSIRT des Mitgliedstaats des Herstellers, das koordiniert, und gleichzeitig an die ENISA. Der Hersteller muss außerdem die Nutzer des Produkts informieren, bei Bedarf mit den Maßnahmen, die sie ergreifen können.
Die Pflichten gelten auch für Produkte, die bereits auf dem Markt sind, nicht nur für neue (Artikel 69 Absatz 3). Auch Kleinst- und Kleinhersteller sind erfasst; sie können aber kein Bußgeld erhalten, wenn sie nur die 24-Stunden-Frühwarnung versäumen.
Was als Nächstes kommt
- 11. Dezember 2027: Der CRA gilt vollständig: Security by Design, Schwachstellenbehandlung während des Unterstützungszeitraums, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung. Ab diesem Datum gelten auch die Meldepflichten für Verwalter quelloffener Software (Open-Source-Stewards).
- Seit dem 11. Juni 2026 gelten die Vorschriften über die Notifizierung von Konformitätsbewertungsstellen, damit notifizierte Stellen vor 2027 bereit sind.
Was Sie jetzt tun können
- Legen Sie fest, wer in Ihrer Organisation innerhalb von 24 Stunden melden kann, auch am Wochenende, und testen Sie den Zugang zur Plattform.
- Führen Sie pro Ereignis einen Datensatz mit dem Zeitpunkt der Kenntnisnahme, denn jede Frist läuft ab diesem Moment.
- Bereiten Sie einen kurzen Textbaustein zur Information der Nutzer vor.
- Nutzen Sie die Zeit bis Dezember 2027 für die Anforderungen an Design und Dokumentation: eine Übersicht der betroffenen Produkte, eine Software-Stückliste (SBOM) und einen Prozess für die Schwachstellenbehandlung.
Artikel 14 im Detail in unserem Leitfaden: Meldepflichten im Cyber Resilience Act.
Quellen
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 14, 64, 69 and 71
- ENISA: The CRA Single Reporting Platform is launched (11 September 2026)
- European Commission: Cyber Resilience Act reporting obligations
Zur Information, keine Rechtsberatung. Zuletzt aktualisiert am 19. Oktober 2026.
Auch verfügbar auf: English, Nederlands, Italiano, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål