CRA-Meldebereitschaft in vier Schritten

Worum es geht

Am 11. September 2026 greifen die Meldepflichten des Cyber Resilience Act. Wer Produkte mit digitalen Elementen auf dem EU-Markt anbietet, muss ab dann aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Zusätzlich braucht jeder Hersteller eine Kontaktstelle für Schwachstellenmeldungen.

Zwei Punkte, die regelmäßig übersehen werden: Es gibt keine Größenschwelle, anders als bei NIS2. Und die Pflicht gilt auch für Bestandsprodukte, nicht erst für die nächste Generation.

Die Fristen im Ernstfall

Die Verordnung kennt zwei getrennte Meldewege mit unterschiedlichen Auslösern. Wer sie vermischt, rechnet die Abschlussfrist falsch.

Aktiv ausgenutzte Schwachstelle (Artikel 14 Absatz 2)

• 24 Stunden nach Kenntniserlangung: Frühwarnung
• 72 Stunden nach Kenntniserlangung: Schwachstellenmeldung
• 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht: Abschlussbericht

Schwerwiegender Sicherheitsvorfall (Artikel 14 Absatz 4)

• 24 Stunden nach Kenntniserlangung: Frühwarnung
• 72 Stunden nach Kenntniserlangung: Vorfallsmeldung
• Ein Monat nach Übermittlung der 72-Stunden-Meldung: Abschlussbericht

Die Uhr für den Abschlussbericht bei Schwachstellen läuft ab der Verfügbarkeit einer Maßnahme, nicht ab der Behebung. Ein veröffentlichter Workaround startet die Frist bereits.

Gemeldet wird gleichzeitig an das koordinierende CSIRT und an die ENISA, über die einheitliche Meldeplattform nach Artikel 16. Zusätzlich sind nach Artikel 14 Absatz 8 die betroffenen Nutzer zu unterrichten.

Die vier Schritte

1. Produktliste erstellen. Welche Ihrer Produkte enthalten digitale Elemente, und welche davon sind noch im Markt oder im Support? Notieren Sie je Produkt: Datenverbindung ja oder nein, Supportstatus, lokale Komponenten wie Client, App oder Firmware, und wer im Haus zuständig ist.
2. Kontaktstelle benennen und veröffentlichen. Eine erreichbare Adresse, eine namentlich zuständige Person, eine dokumentierte Vertretung. Veröffentlichen Sie den Weg dorthin so, dass Sicherheitsforscher ihn finden, etwa über eine security.txt nach RFC 9116.
3. Meldeweg festlegen. Klären Sie vier Fragen schriftlich: Wer liest eingehende Meldungen? Wer entscheidet, dass gemeldet wird? Wer hat Zugang zur Meldeplattform? Wer verfasst den Text? Regeln Sie Wochenende und Urlaub mit.
4. Einmal proben. Spielen Sie einen erfundenen Fall mit der Uhr durch. Ein Durchlauf zeigt in einer Stunde, was ein Jahr Theorie nicht zeigt, meistens dass der Zugang zur Plattform bei einer einzigen Person liegt.

Fällt mein Produkt überhaupt darunter?

• Ja, wahrscheinlich: vernetzte Maschinen und Steuerungen, Geräte mit App-Anbindung, ausgelieferte Software, Firmware, Router und Netzwerktechnik.
• Nein, in der Regel nicht: reines Software-as-a-Service, das nur im Browser läuft. Dafür kann NIS2 gelten.
• Genau hinsehen: Sobald zu einem Dienst ein lokaler Client, ein Agent oder eine selbst betreibbare Variante ausgeliefert wird, ist das ein Produkt im Sinne der Verordnung.
• Sitz außerhalb der EU ändert nichts. Maßgeblich ist, ob das Produkt auf dem EU-Markt angeboten wird.

Wenn Sie bei Schritt 1 nicht innerhalb einer Stunde zu einer vollständigen Liste kommen, ist das bereits das Ergebnis: Dann fehlt die Grundlage, auf der alles Weitere aufbaut.

Was auf Sie zukommt und was noch nicht

Ab dem 11. September 2026 gelten Meldepflicht und Kontaktstelle. Die übrigen Anforderungen der Verordnung, darunter CE-Kennzeichnung und technische Dokumentation, werden erst zum 11. Dezember 2027 verbindlich. Dafür bleibt Zeit. Für die Meldebereitschaft nicht.

Der Bußgeldrahmen für Verstöße gegen Artikel 14 liegt bei bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 64 Absatz 2).

Es gibt eine eng begrenzte Ausnahme, die häufig zu weit gelesen wird. Nach Artikel 64 Absatz 10 werden gegen Kleinst- und Kleinunternehmen keine Geldbußen verhängt, wenn allein die 24-Stunden-Frist versäumt wurde. Drei Einschränkungen dazu: Sie gilt nicht für mittlere Unternehmen bis 250 Beschäftigte. Sie betrifft nur die Geldbuße, nicht die Pflicht. Und 72-Stunden-Meldung und Abschlussbericht bleiben voll sanktionierbar.

Und wenn NIS2 zusätzlich gilt?

Beide Regelwerke können nebeneinander greifen. NIS2 richtet sich an Betreiber in bestimmten Sektoren ab einer Größenschwelle, der Cyber Resilience Act an Hersteller ohne Schwelle. Wer Produkte baut und zugleich in einem NIS2-Sektor tätig ist, muss beides prüfen.

Zum NIS2-Selbstcheck, 10 Fragen →