CRA-Meldepflicht seit dem 11. September 2026: 24 Stunden bis zur ersten Meldung

Welche CRA-Pflichten gelten seit dem 11. September 2026?

Seit dem 11. September 2026 gilt die Meldepflicht für Hersteller nach Artikel 14 des Cyber Resilience Act. Sie verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die Behörden zu melden. Alle übrigen Herstellerpflichten des CRA folgen erst am 11. Dezember 2027.

Der europäische Gesetzgeber hat diese eine Pflicht bewusst vorgezogen. Behörden sollen früh ein Lagebild über Angriffe auf vernetzte Produkte bekommen und ihre eigenen Reaktionsprozesse aufbauen können, bevor das vollständige Pflichtenprogramm greift.

Der Zeitplan des Cyber Resilience Act sieht vier Stufen vor:

• 10. Dezember 2024: Der CRA tritt in Kraft, die Pflichten gelten noch nicht.
• 11. Juni 2026: Kapitel IV zu den notifizierten Stellen wird anwendbar.
• 11. September 2026: Die Hersteller-Meldepflichten nach CRA Artikel 14 gelten.
• 11. Dezember 2027: Der CRA erlangt vollständige Rechtskraft, Cybersicherheit wird zur Marktzugangsvoraussetzung.

Anders als das übrige Pflichtenprogramm knüpft die Meldepflicht nicht daran an, wann ein Produkt in Verkehr gebracht wurde. Sie erfasst den gesamten Bestand.

Auch Produkte, die seit Jahren am Markt sind und für die nach dem 11. Dezember 2027 keine Konformitätsbewertung mehr durchlaufen werden muss, lösen Meldepflichten aus. Ob ein Produkt als kritisch oder wichtig eingestuft ist, spielt ebenso wenig eine Rolle wie Umsatz oder Unternehmensgröße.

Rückwirkend greift die Meldepflicht allerdings nicht: Schwachstellen und Vorfälle, die vor dem 11. September 2026 bekannt wurden, müssen Sie nicht nachmelden. Wer Produkte mit digitalen Elementen anbietet, klärt deshalb als Erstes, ob er überhaupt Hersteller im Sinne des CRA ist.

Welche Unternehmen trifft die CRA-Meldepflicht?

Die Meldepflicht nach Artikel 14 CRA trifft Hersteller von Produkten mit digitalen Elementen. Importeure und Händler melden ab dem 11. Dezember 2027 zunächst an den Hersteller und erst bei einem erheblichen Sicherheitsrisiko zusätzlich an die Marktüberwachungsbehörde. Für Verwalter quelloffener Software gilt ab demselben Datum eine eigene, abgeschwächte Pflicht.

Welche Produkte sind Produkte mit digitalen Elementen?

Ein Produkt mit digitalen Elementen ist jede Software oder Hardware, die eine direkte oder indirekte Datenverbindung zu einem anderen Gerät oder einem Netzwerk aufbauen kann. Erfasst sind auch die dazugehörigen Datenfernverarbeitungslösungen, die der Hersteller selbst oder unter seiner Verantwortung entwickelt.

Wie diese Verbindung technisch aussieht, ist unerheblich. Eine USB-Schnittstelle, an der sich ein Fehlerspeicher auslesen lässt, genügt genauso wie ein Ethernet-Anschluss oder ein Cloud-Zugang.

Diese Produktgruppen fallen typischerweise unter den CRA:

• Hardware mit Software: vernetzte Geräte, Maschinen und Anlagen, aber auch reine Hardwarekomponenten wie Mainboards und Schaltkreise.
• Standalone-Software: mobile Apps und lokal installierte Programme, die eine Verbindung nach außen aufbauen können.
• Datenfernverarbeitungslösungen: etwa das Fitness-Dashboard, ohne das eine Smartwatch eine ihrer Funktionen nicht erfüllen könnte.
• Ausgenommen: Medizinprodukte, In-vitro-Diagnostika, Kfz-Regelungen, Zivilluftfahrt, Schiffsausrüstung, identische Ersatzteile, Bereiche mit vorrangiger unionsrechtlicher Spezialregelung sowie nationale Sicherheit, Verteidigung, Verschlusssachen und der Schutz sensibler staatlicher Informationen.

Reine Webanwendungen und Software-as-a-Service bleiben regelmäßig außen vor, weil es sich dabei um Dienstleistungen handelt. Bieten Sie dieselbe Lösung zusätzlich als lokal installierbare Variante an, fällt diese Variante unter den CRA.

Wer gilt beim CRA als Hersteller?

Hersteller ist, wer ein Produkt mit digitalen Elementen entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke vermarktet. Auf ein Entgelt kommt es dabei nicht an. Diese weite Definition erfasst deutlich mehr Unternehmen, als die meisten erwarten.

Zwei Konstellationen unterschätzen Unternehmen regelmäßig:

• White Label: Wer ein fremd produziertes Produkt unter eigenem Label in Verkehr bringt, gilt kraft Herstellerfiktion selbst als Hersteller und trifft damit auch die Meldepflicht, obwohl er meist nicht weiß, welche Komponenten verbaut sind.
• Unentgeltliche Abgabe: Kostenlose Produkte führen nicht aus dem Anwendungsbereich heraus, solange die Abgabe im Rahmen einer Geschäftstätigkeit erfolgt.

Innerhalb von Konzernen sollten Sie deshalb genau bestimmen, welche juristische Person unter welcher Marke was in Verkehr bringt. Davon hängt auch ab, welche Behörde zuständig ist. Die Meldung selbst können Sie auf einen Bevollmächtigten delegieren, die Verantwortung für ihre richtige Erfüllung bleibt beim Hersteller.

Welche Vorfälle und Schwachstellen müssen Sie melden?

Meldepflichtig sind nach Artikel 14 CRA genau zwei Tatbestände: jede aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen und jeder schwerwiegende Sicherheitsvorfall mit Auswirkung auf die Sicherheit des Produkts. Auf ein Verschulden des Herstellers kommt es nicht an.

Wann ist eine Schwachstelle aktiv ausgenutzt?

Eine Schwachstelle ist aktiv ausgenutzt, wenn verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigentümers ausgenutzt hat. Artikel 3 Nr. 42 CRA verlangt also einen belegbaren Angriff, nicht nur ein theoretisches Risiko.

Liegt die Schwachstelle in einer zugekauften Drittkomponente, entscheidet die Erreichbarkeit. Ist die Komponente zwar verbaut, die Schwachstelle in Ihrem Produkt aber nicht erreichbar, entsteht keine Meldepflicht gegenüber der Behörde.

Derselbe Vorfall kann mehrere Meldungen auslösen, weil sowohl der Komponentenhersteller als auch der Hersteller des betroffenen Endprodukts meldepflichtig sind. Kommt einer der Beteiligten zu einem anderen Ergebnis, treffen bei der Behörde zwei abweichende Einschätzungen zu einem Sachverhalt aufeinander. Abgestimmte Prozesse entlang der Lieferkette ersparen Ihnen diese Rückfragen.

Wann ist ein Sicherheitsvorfall schwerwiegend?

Ein Sicherheitsvorfall ist nach Artikel 14 Abs. 5 CRA schwerwiegend, wenn er produktbezogen ist und einen von zwei Schwellenwerten erreicht. Nicht jeder IT-Sicherheitsvorfall im Unternehmen erfüllt diese Voraussetzung. Entscheidend ist der Durchschlag auf die Sicherheit des einzelnen Produkts.

Diese beiden Schwellenwerte nennt der CRA:

1. Der Vorfall wirkt sich negativ auf die Fähigkeit des Produkts aus, Verfügbarkeit, Integrität oder Vertraulichkeit von Daten und Funktionen zu schützen, oder er kann sich so auswirken.
2. Der Vorfall hat zur Einführung oder Ausführung von Schadcode im Produkt oder im Netz- und Informationssystem des Nutzers geführt oder ist dazu geeignet.

Die aktuellen Leitlinien der EU-Kommission nennen als typischen Fall den erfolgreichen Angriff auf den Update-Kanal eines Herstellers, über den sich Schadcode einschleusen lässt.

Was ist nicht meldepflichtig?

Nicht jede bekannt gewordene Sicherheitslücke löst eine Meldepflicht nach Artikel 14 CRA aus. Fehlt der Nachweis einer tatsächlichen Ausnutzung, bleibt es bei den internen Prozessen des Schwachstellenmanagements.

Diese Fälle sind nach dem CRA nicht meldepflichtig:

• Zero-Day-Lücken ohne Ausnutzung: Die Lücke ist bekannt, für eine Ausnutzung fehlen aber Nachweise.
• Eigene Testfunde: Ergebnisse aus Pentests und vergleichbaren eigenen Untersuchungen.
• Gutgläubige Sicherheitsforschung: Erwägungsgrund 68 CRA nimmt sie aus, was auch für gutgläubig durchgeführte Untersuchungen im Rahmen einer Responsible Disclosure gilt.
• Beinahe-Vorfälle ohne Auswirkung: Ereignisse ohne Durchschlag auf die Produktsicherheit.

Für all diese Fälle eröffnet Artikel 15 CRA die freiwillige Meldung, die keine erhöhte Haftung auslöst und allein das Lagebild der Behörden verbessert. Steht dagegen fest, dass ein Sachverhalt meldepflichtig ist, beginnt eine sehr kurze Fristenkaskade.

Welche Fristen gelten für die Meldepflicht nach dem Cyber Resilience Act?

Artikel 14 CRA sieht eine dreistufige Meldekaskade vor: eine Frühwarnung binnen 24 Stunden, eine ausführliche Meldung binnen 72 Stunden und einen Abschlussbericht. Die Fristen für Frühwarnung und Meldung laufen ab Kenntniserlangung des Herstellers, für die Abschlussberichte gelten abweichende Fristbeginne. Wochenenden und Feiertage zählen mit.

Stufe	Frist	Inhalt	Fristbeginn
Frühwarnung	24 Stunden	Art der Schwachstelle oder des Vorfalls, betroffene Mitgliedstaaten	Kenntniserlangung
Meldung	72 Stunden	Ausführliche Einschätzung, Schweregrad, Kompromittierungsindikatoren, Korrektur- und Risikominderungsmaßnahmen	Kenntniserlangung
Abschlussbericht Schwachstelle	14 Tage	Beschreibung der Schwachstelle, Angaben zum Akteur, Angaben zum Update	Bereitstellung des Updates oder der Risikominderungsmaßnahme
Abschlussbericht Vorfall	1 Monat	Abschließende Darstellung des Vorfalls	Ende der 72-Stunden-Frist

Der Abschlussbericht für aktiv ausgenutzte Schwachstellen knüpft an einen anderen Zeitpunkt an als die übrigen Fristen. Er läuft erst, sobald ein Update oder eine Risikominderungsmaßnahme bereitsteht. Das ist kein Freibrief. Die Pflichten zum Schwachstellenmanagement verlangen ab Dezember 2027 unverzügliche Abhilfe.

Unabhängig von diesen Stufen kann die Behörde jederzeit einen Zwischenbericht anfordern. Reagieren Sie darauf nicht, droht ebenfalls ein Bußgeld. Über die Einhaltung entscheidet damit vor allem, wann die 24-Stunden-Uhr zu laufen beginnt.

Ab wann läuft die 24-Stunden-Frist der CRA-Meldepflicht?

Die 24-Stunden-Frist für die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle beginnt mit der Kenntnis des Herstellers, nicht mit dem Eingang des ersten Hinweises. Eine kurze Erstbewertung dürfen Sie vornehmen. Künstlich strecken lässt sich diese Prüfphase nicht, denn Artikel 14 CRA verlangt eine unverzügliche Bewertung.

Wer keine definierten Prozesse hat, macht sich an genau dieser Stelle angreifbar. Ohne dokumentierte Erstbewertung lässt sich im Nachhinein kaum belegen, wann die Kenntnis eingetreten ist und warum die Meldung erst später erfolgte.

Eine finale, ausermittelte Sachlage muss nicht vorliegen. Es genügt die überwiegende Wahrscheinlichkeit, dass ein meldepflichtiger Sachverhalt eingetreten ist. Ab diesem Moment läuft die Uhr. Dafür ist die Frühwarnung bewusst schlank gehalten und lässt sich in der 72-Stunden-Meldung korrigieren und ergänzen.

Legen Sie deshalb vorab fest, was in Ihrem Unternehmen als Kenntnis gilt:

• Auslöser: Welche Ereignisse und Hinweisquellen starten die Erstbewertung?
• Nachweise: Welche Belege ziehen Sie heran, um eine aktive Ausnutzung anzunehmen?
• Entscheider: Wer trifft die Bewertung, und wer vertritt diese Person am Wochenende?
• Dokumentation: Wo halten Sie Zeitpunkt und Begründung fest, gerade bei einer Entscheidung gegen eine Meldung?

Wer bereits einen belastbaren Prozess nach Artikel 33 DSGVO betreibt, kann dessen Bewertungslogik als Vorlage nutzen. Wer diese vier Punkte vorab festlegt, entscheidet im Ernstfall innerhalb weniger Stunden und setzt die Meldung an den richtigen Adressaten ab.

An wen müssen Hersteller nach dem CRA melden?

Adressat der Meldung ist die Single Reporting Platform der ENISA, die zentrale Meldeplattform für die gesamte EU mit nationalen Endpunkten. Zuständig ist der Endpunkt am Sitz der Hauptniederlassung in der Union. In Deutschland soll das BSI nach dem nationalen Durchführungsgesetz die Rolle als Anlaufstelle und CRA-Koordinator übernehmen.

Der CRA kennt vier Adressaten, die Sie auseinanderhalten sollten:

• CRA Single Reporting Platform (ENISA): zentrale Meldestelle für Frühwarnung, Meldung und Abschlussbericht.
• CSIRT und BSI: vorgesehener nationaler Endpunkt in Deutschland, zugleich zentrale Überwachungsbehörde.
• Komponentenhersteller: Upstream-Meldung von Schwachstellen in zugekauften Komponenten, verpflichtend ab dem 11. Dezember 2027.
• Betroffene Nutzer: Information über aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle samt möglicher Gegenmaßnahmen.

Die Nutzerinformation ist der zweite, oft übersehene Teil der Meldepflicht. Der CRA nennt dafür keine feste Frist. Die Leitlinien der Kommission verlangen eine risikobasierte und verhältnismäßige Information, die möglichst maschinenlesbar erfolgen soll.

Eine Veröffentlichung gegenüber der breiten Öffentlichkeit verlangt der CRA nicht. In sensiblen Einsatzumgebungen kann sie das Risiko sogar erhöhen, weil eine Lücke dann ausgenutzt werden könnte, bevor Nutzer patchen konnten. Die betroffenen Nutzer sollten Sie dagegen unverzüglich nach Kenntniserlangung informieren.

Welche Prozesse müssen Hersteller jetzt aufbauen?

Ohne Funktionspostfach, benannte Melder und einen geprobten Prozess ist die 24-Stunden-Frist der CRA-Meldepflicht nicht zu halten. Wer Zuständigkeiten und Zugänge erst im Ernstfall klärt, verliert genau die Stunden, die der CRA für die Frühwarnung vorsieht.

Diese fünf Schritte sollten deshalb jetzt stehen:

1. Bestandsaufnahme: Erfassen Sie, welche Ihrer Produkte digitale Elemente enthalten, und bestimmen Sie Ihre Rolle als Hersteller, Importeur oder Händler. Dazu gehört eine Software Bill of Materials (SBOM), die zeigt, welche Komponenten von welchem Hersteller verbaut sind.
2. Meldewege schaffen: Richten Sie ein Funktionspostfach wie cra-reporting@ihrunternehmen.de ein und binden Sie es an Ihr Ticketsystem und die bestehende Incident-Response-Bereitschaft an. Ohne eigenen Kanal landen Hinweise im normalen Support und gehen dort unter.
3. Zugänge klären: Benennen Sie einen primären Melder und zwei Vertreter (1 Primary AR + 2 Backup ARs) für die Single Reporting Platform, jeweils mit eigenem EU-Login und eigener MFA. Die Zugänge sind personengebunden. Credential-Sharing ist keine Option.
4. Meldeprozess dokumentieren: Legen Sie ein Playbook mit Verantwortlichkeitsmatrix, Kenntnis-Definition, Fristenuhr, Eskalationswegen, Wochenendbereitschaft und Textbausteinen für Abschlussbericht und Kundenkommunikation an.
5. Lieferkette absichern: Verpflichten Sie Zulieferer vertraglich auf Meldung von Schwachstellen, konkrete Reaktionszeiten, benannte Kontaktstellen und Austauschformate.

Ergänzend brauchen Sie eine Marktkarte, die festhält, in welchen Mitgliedstaaten Ihre Produkte bereitgestellt wurden und über welche Kanäle Sie betroffene Nutzer erreichen. Sind nur bestimmte Softwareversionen betroffen, sollten Sie auch nur deren Nutzer ansprechen können.

Der CRA enthält keinen Auffangtatbestand für andere Meldepflichten. Eine Meldung nach Artikel 14 CRA ersetzt weder die Meldung nach DSGVO noch nach NIS2 oder DORA. Intern lassen sich diese Prozesse aber auf einer gemeinsamen Datenbasis zusammenführen, statt drei parallele Ermittlungen zu führen.

Prüfen Sie den fertigen Prozess einmal in einer Tabletop-Übung von zwei Stunden. Erst unter Ernstfallbedingungen zeigt sich, ob die richtigen Personen im Verteiler stehen und ob der Kontaktweg trägt.

Welche Bußgelder drohen bei Verstößen gegen die CRA-Meldepflicht?

Verstöße gegen die Meldepflicht nach Artikel 14 CRA liegen in der höchsten Bußgeldstufe von bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Ein Verstoß gegen die Meldepflicht wiegt damit so schwer wie ein Verstoß gegen die wesentlichen Sicherheitsanforderungen.

Der CRA staffelt die Bußgelder nach der Schwere des Verstoßes:

• 15 Mio. Euro oder 2,5 Prozent: Verstöße gegen wesentliche Sicherheitsanforderungen sowie gegen die Melde- und Herstellerpflichten aus Artikel 13 und 14.
• 10 Mio. Euro oder 2 Prozent: sonstige Pflichten, unter anderem von Einführern und Händlern sowie zur Konformitätsbewertung.
• 5 Mio. Euro oder 1 Prozent: falsche, unvollständige oder irreführende Angaben gegenüber Behörden.

Für Kleinst- und Kleinunternehmen gilt eine eng begrenzte Erleichterung: Verstöße gegen die 24-Stunden-Frühwarnung bleiben bußgeldfrei. Die Pflicht selbst entfällt dadurch nicht, und die 72-Stunden-Frist gilt uneingeschränkt. Verwalter quelloffener Software müssen nach dem CRA generell keine Bußgelder erwarten.

Fazit: Die CRA-Meldepflicht steht und fällt mit dem Meldeprozess

Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden an die Single Reporting Platform der ENISA melden. Die Pflicht erfasst den gesamten Produktbestand und macht keinen Unterschied nach Unternehmensgröße oder Risikoklasse.

Die eigentliche Arbeit liegt vor dem Ernstfall. Das Meldeformular ist der kleinste Teil davon. Wer erst dann klärt, wer bewerten darf, wer melden kann und wo der Zugang liegt, verliert die entscheidenden Stunden.

Der Cyber Resilience Act ist dabei kein reines Technikthema. Die Meldepflicht berührt Produktstrategie, Compliance, Vertragsgestaltung in der Lieferkette und die Entwicklung selbst. Wo viele Schnittstellen zusammenkommen, dauert die Umsetzung lange.

Der erste Schritt kostet dagegen wenig Aufwand: ein Funktionspostfach, drei benannte Melder und ein Dokument, das festhält, wer im Zweifel entscheidet.

Häufig gestellte Fragen

Gilt die CRA-Meldepflicht auch für Open-Source-Software?

Ja, aber abgestuft. Verwalter quelloffener Software trifft eine eigene, abgeschwächte Meldepflicht, die erst am 11. Dezember 2027 greift. Verwalter ist jede juristische Person, die nicht Hersteller ist, die Entwicklung freier und quelloffener Software systematisch und nachhaltig unterstützt und deren Brauchbarkeit sicherstellt. Bußgelder drohen ihnen nach dem CRA nicht. Wer Open-Source-Software dagegen im Rahmen einer Geschäftstätigkeit unter eigenem Namen vermarktet, ist Hersteller und meldet seit dem 11. September 2026.

Fällt eine mobile App unter die CRA-Meldepflicht?

Ja, mobile Apps sind Produkte mit digitalen Elementen und fallen unter den Cyber Resilience Act, sobald sie eine Datenverbindung aufbauen können. Der CRA behandelt sie als Standalone-Software, die in Verkehr gebracht wird. Anders liegt es bei reinen Software-as-a-Service-Angeboten, die als Dienstleistung regelmäßig außen vor bleiben, sofern sie nicht Datenfernverarbeitungslösung eines Produkts sind.

Ersetzt eine CRA-Meldung die Meldung nach DSGVO oder NIS2?

Nein, der Cyber Resilience Act enthält keinen Auffangtatbestand für andere Meldepflichten. Eine Meldung nach Artikel 14 CRA erfüllt weder die Meldepflicht nach Artikel 33 DSGVO noch die Pflichten aus NIS2, DORA oder sektorspezifischem Recht. Diese Meldungen sind parallel zu prüfen und abzugeben. Intern lassen sich die Prozesse auf einer gemeinsamen Datenbasis zusammenführen.

Welche CRA-Pflichten gelten ab dem 11. Dezember 2027?

Am 11. Dezember 2027 erlangt der Cyber Resilience Act vollständige Rechtskraft. Ab diesem Zeitpunkt gelten die wesentlichen Sicherheitsanforderungen, die Konformitätsbewertung, die Kennzeichnung, das Schwachstellenmanagement und die Support-Pflicht mit Sicherheitsupdates. Auch die Meldepflichten von Importeuren, Händlern und Verwaltern quelloffener Software greifen erst dann. Cybersicherheit wird damit zur Voraussetzung für den Marktzugang.

Müssen Vorfälle nachgemeldet werden, die vor dem 11. September 2026 bekannt wurden?

Nein, eine Nachmeldepflicht besteht nicht. Die Meldepflicht nach Artikel 14 CRA erfasst Schwachstellen und Sicherheitsvorfälle, von denen der Hersteller ab dem 11. September 2026 Kenntnis erlangt. Für Sachverhalte, die davor bekannt wurden, gab es keinen Meldeweg und besteht auch rückwirkend keine Pflicht. Wird ein alter Sachverhalt erst jetzt bekannt, läuft die Frist ab dieser Kenntnis.