CRA-Meldepflicht startet: Frühwarnung binnen 24 Stunden

Die Uhr läuft: Wer eine aktiv ausgenutzte Schwachstelle im eigenen Produkt entdeckt oder von einem schweren Vorfall erfährt, hat wenig Zeit.

Verwandt: Was ist der CRA? Pflichten für digitale Produkte  ·  Der Cyber Resilience Act trifft auch Ihren Bestand

Hersteller schulden aktive Meldung am Produkt

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, ist seit dem 10. Dezember 2024 in Kraft. Die Hauptpflichten für Produkte gelten ab dem 11. Dezember 2027. Die Hinweisseite der Kommission zu den Meldepflichten trägt den Stand 31. Juli 2026 und beschreibt denselben Stichtag samt Adressatenkette.

Was ist die CRA-Meldepflicht? Artikel 14 der Verordnung (EU) 2024/2847 verpflichtet Hersteller, aktiv ausgenutzte Lücken und schwere Vorfälle ab dem 11. September 2026 binnen 24 Stunden als Frühwarnung und binnen 72 Stunden vollständig über die CRA Single Reporting Platform zu melden.

Ab dem 11. September 2026 greift Artikel 14. Ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen Hersteller von sich aus melden. Gemeint sind Lücken und Vorfälle, die die Sicherheit ihres Produkts mit digitalen Elementen beeinträchtigen.

Die Pflicht sitzt beim Hersteller und hängt am Produkt mit digitalen Elementen. Software-Häuser und Hardware-Anbieter stehen in derselben Adressatenrolle, sobald ein solches Produkt betroffen ist. Ein interner IT-Vorfall ohne diesen Produktbezug fällt nicht unter Artikel 14.

Der Auslöser ist Kenntnis im Haus. Ein öffentliches Advisory kann diesen Zeitpunkt setzen. Ein verfügbares Update gehört in eine spätere Stufe der Kette und setzt den Schlussbericht in Gang, sobald eine Korrektur oder Milderung bereitsteht.

Zwei Fristen laufen ab Kenntnis, die dritte später

Artikel 14 legt für ausgenutzte Schwachstellen eine dreistufige Kette fest. Kenntnis setzt die ersten beiden Stufen in Gang: Frühwarnung und vollständige Meldung. Die dritte Stufe, der Schlussbericht, läuft erst, sobald eine Korrektur oder Milderung zur Verfügung steht, bei schweren Vorfällen stattdessen innerhalb eines Monats nach der Meldung.

Die Frühwarnung geht ohne unnötige Verzögerung, in jedem Fall innerhalb von 24 Stunden nach Kenntnis. Sie nennt die Mitgliedstaaten, in denen das Produkt bekanntermaßen bereitgestellt wird. Ohne diese Landkarte bleibt die Warnung unvollständig.

Die vollständige Meldung folgt innerhalb von 72 Stunden nach Kenntnis. Sie enthält allgemeine Angaben zum Produkt, zur Art des Exploits und der Schwachstelle sowie zu ergriffenen und für Anwender möglichen Maßnahmen. Der Hersteller stuft ein, wie sensibel er die Information einschätzt.

Der Schlussbericht ist bei ausgenutzten Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Milderungsmaßnahme fällig. Er beschreibt die Lücke inklusive Schwere und Auswirkung. Wo möglich, kommen Angaben zu Angreifern sowie Details zum Security-Update oder den Korrekturmaßnahmen hinzu.

Die Meldung läuft einmal und wandert weiter

Die Meldung erfolgt nur einmal über die CRA Single Reporting Platform. Adressat ist das CSIRT der Hauptniederlassung in der Union: der Ort der überwiegenden Cybersicherheitsentscheidungen, sonst die Niederlassung mit den meisten Beschäftigten. Die Plattform bündelt die Abgabe für CSIRT und ENISA.

Die ENISA bekommt die Information gleichzeitig, außer in besonderen Ausnahmefällen. Das empfangende CSIRT teilt die Meldung unverzüglich mit allen anderen CSIRTs, auf deren Gebiet das Produkt verfügbar ist. Der Hersteller reicht dafür keine zweite Meldung nach; die Weitergabe ist Aufgabe des empfangenden CSIRT.

In Ausnahmefällen kann das empfangende CSIRT die Weitergabe auf begründete Cybersecurity-Gründe hin aufschieben. Ein Delegierter Rechtsakt der Kommission dazu wurde am 11. Dezember 2025 angenommen und hält den Aufschub als Ausnahme fest. Die Ausnahme von der gleichzeitigen ENISA-Information und die Ausnahme bei der Weitergabe an andere CSIRTs sind zwei getrennte Regelungen.

Die ENISA ist nach Artikel 16 mit dem Aufbau der Plattform beauftragt. Eine öffentliche Ausschreibung wurde vergeben und Funktions- und Sicherheitstests laufen. Die Plattform soll am 11. September 2026 operational sein, am selben Tag wie die Pflicht.

Drei Wochen für Sitz, Produktkarte und Rollen

Häuser, die den Cyber Resilience Act noch als Projekt für 2027 führen, verpassen die erste laufende Uhr. Der Stichtag liegt wenige Wochen nach Veröffentlichung dieser Einordnung. Ein Haus ohne benannten Hauptsitz, ohne Länderliste und ohne Kenntnis-Regel startet die Kette unvollständig.

Zuerst braucht das Haus seine Hauptniederlassung in der Union und das dazu gehörige koordinierende CSIRT. Daneben gehört eine aktuelle Liste der Mitgliedstaaten, in denen das Produkt bereitgestellt wird. Diese Liste speist die Frühwarnung und später die Weitergabe im CSIRT-Netz und muss vor dem ersten Ernstfall stehen.

Ebenso fehlt oft die interne Regel, wann Kenntnis vorliegt. Welche Rolle den Zeitpunkt setzt und welcher Kanal zählt, muss vor dem ersten Ernstfall stehen. Die Sensibilität der Information gehört zusammen mit den Maßnahmen für Anwender in eine fertige Vorlage.

Ein Haus, das Zugang und Zuständigkeit erst am Meldetag klärt, verbraucht die erste Frist mit der Einrichtung des Zugangs.

Der Zugang zur Plattform läuft über EU-Login. Ein Konto für die Single Reporting Platform entsteht laut ENISA erst mit der konkreten Meldung; die öffentliche Adresse der Plattform steht noch nicht fest. Wer den Ablauf jetzt durchspielt, kennt seine Zugänge, bevor die erste Frist tickt.

Artikel 14 greift vor den Produktpflichten

Interne Incident-Response und der Umgang mit Schwachstellen bleiben das operative Rückgrat und brauchen ab dem Stichtag einen Ausgang in die Single Reporting Platform. Die Behördenseite tritt als eigene Spur neben den bestehenden Einsatzplänen auf. Der interne Kreis sieht den Vorfall zuerst, die Plattform die Meldung danach.

Die Meldepflicht nach Artikel 14 wartet nicht auf die Produktpflichten von 2027; beide Blöcke stehen in derselben Verordnung. Ein Umsetzungsplan, der erst auf Dezember 2027 zielt, deckt den späteren Block. Der frühere Block ist die Meldung ausgenutzter Lücken und schwerer Vorfälle.

Am 27. Juli 2026 hat die Kommission praktische Leitlinien veröffentlicht, um Herstellern aller Größen die Umsetzung zu erleichtern. Ergänzende Hinweise stehen in der FAQ der ENISA zur Single Reporting Platform. Abschnitt 9.1 der Kommissions-Leitlinie und Abschnitt 5 der Umsetzungs-FAQ klären die Meldepflichten weiter.

Die harte Stelle sitzt in der Geografie des Produkts. Eine Meldung, die den Sitz trifft, wandert an jedes CSIRT, auf dessen Gebiet das Produkt verfügbar ist. Die Sensibilitätsangabe und die begründeten Aufschubgründe gehören in denselben Prozess und vertragen keine spätere Nacharbeit.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Gelten die Pflichten auch für Open Source?

Die Kommission behandelt kostenlose Open-Source-Projekte besonders, ohne sie pauschal zu befreien. Wer Open-Source-Bestandteile in ein Produkt mit digitalen Elementen übernimmt und als Hersteller auftritt, bleibt im Blick der Meldepflicht. Eine pauschale Freistellung für jedes öffentlich gepflegte Projekt folgt aus den vorliegenden Hinweisen nicht.

Was gilt bei mehreren EU-Standorten?

Das koordinierende CSIRT richtet sich nach dem Hauptsitz in der Union. Die Frühwarnung nennt zusätzlich die Mitgliedstaaten, in denen das Produkt bekanntermaßen bereitgestellt wird. Das empfangende CSIRT leitet an die CSIRTs dieser Gebiete weiter.

Wann gilt ein Vorfall als schwer?

Die Verordnung koppelt die Pflicht an Vorfälle, die die Sicherheit des Produkts mit digitalen Elementen beeinträchtigen. Eine operative Schwellenliste steht in den vorliegenden Hinweisen nicht. Sichtbar ist die Trennung zur ausgenutzten Schwachstelle: Bei schweren Vorfällen ist der Schlussbericht innerhalb eines Monats fällig.

Was ändert sich am 11. Dezember 2027?

Dann gelten die Hauptpflichten des Cyber Resilience Act für Produkte. Für Bestände, die vorher auf den Markt gekommen sind, gilt das nur bei einer wesentlichen Änderung; von der Meldepflicht nach Artikel 14 sind sie ohnehin seit dem 11. September 2026 erfasst. Der CRA selbst ist seit dem 10. Dezember 2024 in Kraft.

Brauche ich als Anwender etwas zu tun?

Artikel 14 legt die Meldung dem Hersteller auf. Anwender haben daraus keine eigene Pflicht an CSIRT oder ENISA. In der vollständigen Meldung nennt der Hersteller Maßnahmen, die für Anwender möglich sind; dort setzen Anwender praktisch an.

Lesetipps der Redaktion

LesetippWas ist der CRA? Pflichten für digitale ProdukteLesetippDer Cyber Resilience Act trifft auch Ihren BestandLesetippNIS2-Durchsetzung 2026: BSI-Auditphase und DACH-Checkliste

Mehr aus dem MBF Media Netzwerk

cloudmagazinLieferkette bricht am Datenpfad zwischen MES und ERPMyBusinessFutureCloudflare 402: Ihr nächster Kunde ist ein KI-AgentDigital ChiefsFable 5 bleibt teuer: Firmen meiden Anthropics Topmodell

Bildquelle: KI-generiert (August 2026)