CRA-Meldepflicht: Wann Hersteller Schwachstellen und Sicherheitsvorfälle melden müssen

Was regelt die CRA-Meldepflicht im Überblick?

Der CRA unterscheidet zwischen zwei eigenständigen Meldetatbeständen: aktiv ausgenutzten Schwachstellen nach Art. 14 Abs. 1 und 2 CRA und schwerwiegenden Sicherheitsvorfällen nach Art. 14 Abs. 3 bis 5 CRA.

Für beide gelten grundsätzlich dieselben ersten Meldefristen: eine Frühwarnung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, sowie eine weitere Meldung unverzüglich, spätestens innerhalb von 72 Stunden. Unterschiede bestehen insbesondere bei den Voraussetzungen und Inhalten der Meldungen sowie den Fristen für den Abschlussbericht. Bei aktiv ausgenutzten Schwachstellen ist dieser spätestens 14 Tage nach Bereitstellung einer Korrektur- oder Risikominderungsmaßnahme einzureichen. Bei schwerwiegenden Sicherheitsvorfällen beträgt die Frist einen Monat nach Übermittlung der 72-Stunden-Meldung.

Die Meldungen erfolgen über die von ENISA betriebene zentrale Meldeplattform, die Single Reporting Platform (SRP).

Wir erläutern Schritt für Schritt, wie die beiden Meldetatbestände voneinander abzugrenzen sind, wann welche Meldepflicht entsteht, welche Fristen gelten, wer für die Meldung verantwortlich ist und wie Unternehmen ihre internen Prozesse darauf vorbereiten sollten.

Wann müssen Sie eine aktiv ausgenutzte Schwachstelle oder einen Sicherheitsvorfall melden?

Nicht jede Schwachstelle und nicht jeder Sicherheitsvorfall löst automatisch eine Meldepflicht nach dem CRA aus. Art. 14 CRA unterscheidet zwei Fälle, in denen Hersteller zur Meldung verpflichtet sind:

• Aktiv ausgenutzte Schwachstellen (Art. 14 Abs. 1 CRA): Eine Meldepflicht besteht, wenn verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur eine Schwachstelle in einem Produkt mit digitalen Elementen ohne Zustimmung des Systemeigners tatsächlich ausgenutzt hat.
• Schwerwiegende Sicherheitsvorfälle (Art. 14 Abs. 3 und 5 CRA): Meldepflichtig sind Sicherheitsvorfälle, die sich auf die Sicherheit eines Produkts mit digitalen Elementen auswirken und als schwerwiegend einzustufen sind. Dies ist insbesondere der Fall, wenn die Fähigkeit des Produkts, sensible oder wichtige Daten oder Funktionen zu schützen, beeinträchtigt wird oder beeinträchtigt werden kann. Auch die tatsächliche oder mögliche Einschleusung oder Ausführung von Schadcode kann einen meldepflichtigen Sicherheitsvorfall darstellen.

Entscheidend ist damit die Abgrenzung: Eine Schwachstelle, die lediglich entdeckt wurde, ohne dass Nachweise für eine aktive Ausnutzung vorliegen, begründet für sich genommen noch keine Meldepflicht nach Art. 14 Abs. 1 CRA. Ebenso ist nicht jeder technische Fehler oder Sicherheitsvorfall automatisch meldepflichtig. Maßgeblich ist, ob die gesetzlichen Voraussetzungen eines der beiden Meldetatbestände erfüllt sind.

Entscheidend für den Beginn der Meldefristen ist, wann der Hersteller von der aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Sicherheitsvorfall Kenntnis erlangt. Bei einer aktiv ausgenutzten Schwachstelle müssen verlässliche Nachweise für die tatsächliche Ausnutzung vorliegen. Bloße Vermutungen genügen nicht. Eine vollständig abgeschlossene technische Untersuchung ist jedoch nicht erforderlich, wenn bereits ausreichende Erkenntnisse über die aktive Ausnutzung vorliegen. Entsprechendes gilt bei schwerwiegenden Sicherheitsvorfällen, sobald die Voraussetzungen des Meldetatbestands erkennbar erfüllt sind.

Für Hersteller kommt es daher darauf an, eingehende Hinweise unverzüglich zu prüfen und zu bewerten. Klare Zuständigkeiten und festgelegte Entscheidungswege helfen dabei, meldepflichtige Sachverhalte frühzeitig zu erkennen und die gesetzlichen Meldefristen einzuhalten.

Gilt die Meldepflicht auch für bereits in Verkehr gebrachte Produkte?

Die Meldepflicht nach Art. 14 CRA gilt seit dem 11. September 2026 auch für Produkte mit digitalen Elementen, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Dies stellt Art. 69 Abs. 3 CRA ausdrücklich klar.

Entscheidend für den Beginn der Meldefristen ist, wann der Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall Kenntnis erlangt. Waren ihm die meldepflichtigen Umstände bereits vor dem 11. September 2026 bekannt, entsteht grundsätzlich keine nachträgliche Meldepflicht. Erlangt er dagegen erst ab diesem Zeitpunkt Kenntnis, kann Art. 14 CRA auch dann greifen, wenn das betroffene Produkt bereits zuvor in Verkehr gebracht wurde.

Die Meldepflichten sind damit von den übrigen Anforderungen des CRA zu unterscheiden, die grundsätzlich erst ab dem 11. Dezember 2027 gelten.

Wer muss die Meldung nach dem CRA abgeben?

Die Meldepflicht nach Art. 14 CRA trifft Hersteller von Produkten mit digitalen Elementen. Als Hersteller gilt nach Art. 3 Nr. 13 CRA grundsätzlich, wer ein solches Produkt entwickelt oder herstellt beziehungsweise entwickeln oder herstellen lässt und unter eigenem Namen oder eigener Marke vermarktet.

Auch Unternehmen, die Produkte nicht selbst entwickeln oder herstellen, können damit Hersteller im Sinne des CRA sein. Entscheidend ist, ob sie die Voraussetzungen der gesetzlichen Herstellerdefinition erfüllen.

Vertrieb unter eigener Marke und wesentliche Änderungen

Der CRA enthält in Art. 21 und 22 zusätzliche Regelungen, nach denen unter bestimmten Voraussetzungen auch Einführer, Händler oder andere Personen den Pflichten eines Herstellers unterliegen. Dies betrifft insbesondere das Inverkehrbringen eines Produkts unter eigenem Namen oder eigener Marke sowie wesentliche Änderungen an bereits in Verkehr gebrachten Produkten.

Diese Vorschriften sind jedoch grundsätzlich erst ab dem 11. Dezember 2027 anzuwenden. Für die bereits seit dem 11. September 2026 geltende Meldepflicht ist deshalb zunächst zu prüfen, ob das Unternehmen selbst unter die Herstellerdefinition nach Art. 3 Nr. 13 CRA fällt.

Hersteller ohne Niederlassung in der EU

Auch Hersteller ohne Niederlassung in der EU können der CRA-Meldepflicht unterliegen. Die Bestellung eines Bevollmächtigten nach Art. 18 CRA ist hierfür nicht generell erforderlich.

Für die Bestimmung des zuständigen Computer Security Incident Response Teams (CSIRT) sieht Art. 14 Abs. 7 CRA bei Herstellern ohne Hauptniederlassung in der EU eine besondere Rangfolge vor. Diese berücksichtigt insbesondere vorhandene Bevollmächtigte, Einführer, Händler und die Verteilung der Nutzer innerhalb der EU.

Die Verantwortung für die Erfüllung der Meldepflicht verbleibt beim Hersteller. Er kann jedoch eine andere Person mit der Einreichung der Meldung beauftragen.

An wen müssen Hersteller die Meldung richten?

Die Meldung erfolgt über die von der EU-Agentur für Cybersicherheit (ENISA) betriebene Single Reporting Platform (SRP). Über diese Plattform wird sie an das zuständige CSIRT übermittelt und grundsätzlich gleichzeitig ENISA zur Verfügung gestellt (Art. 16 CRA).

Welches CSIRT zuständig ist, richtet sich nach der Hauptniederlassung des Herstellers in der EU. Maßgeblich ist dabei grundsätzlich der Ort, an dem die Entscheidungen im Zusammenhang mit der Cybersicherheit der Produkte überwiegend getroffen werden. Lässt sich dieser nicht bestimmen, kommt es auf die Niederlassung mit der höchsten Zahl an Beschäftigten innerhalb der EU an (Art. 14 Abs. 7 CRA).

Das empfangende CSIRT ist für die weitere Verteilung der Meldung an die CSIRTs der betroffenen Mitgliedstaaten zuständig. Auch die zuständigen Marktüberwachungsbehörden erhalten die Informationen, die sie zur Wahrnehmung ihrer Aufgaben benötigen.

Kann die Weitergabe einer Meldung eingeschränkt werden?

Unter besonders außergewöhnlichen Umständen kann die Weitergabe einer Meldung an andere CSIRTs verzögert werden.

Voraussetzung sind berechtigte Gründe im Zusammenhang mit der Cybersicherheit, insbesondere wenn die sofortige Weitergabe die Sicherheit des betroffenen Produkts zusätzlich gefährden könnte.

Der Hersteller kann entsprechende Umstände geltend machen. Über die verzögerte Weitergabe entscheidet jedoch das zuständige CSIRT nach Art. 16 Abs. 2 CRA. Die gesetzlichen Meldefristen bleiben davon unberührt.

Welche Meldefristen gelten nach dem CRA?

Art. 14 CRA sieht sowohl für aktiv ausgenutzte Schwachstellen als auch für schwerwiegende Sicherheitsvorfälle ein dreistufiges Meldeverfahren vor. Die Fristen für die ersten beiden Meldestufen sind identisch. Unterschiede bestehen insbesondere beim Inhalt der Meldungen und beim Zeitpunkt des Abschlussberichts.

1. Frühwarnung innerhalb von 24 Stunden

Hersteller müssen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung eine Frühwarnung übermitteln (Art. 14 Abs. 2 Buchst. a und Abs. 4 Buchst. a CRA).

Bei aktiv ausgenutzten Schwachstellen ist insbesondere anzugeben, ob die Ausnutzung mutmaßlich auf rechtswidrige oder böswillige Handlungen zurückzuführen ist. Bei schwerwiegenden Sicherheitsvorfällen muss entsprechend mitgeteilt werden, ob ein solcher Ursprung vermutet wird. Soweit möglich, sind die betroffenen Mitgliedstaaten anzugeben.

2. Meldung innerhalb von 72 Stunden

Spätestens 72 Stunden nach Kenntniserlangung muss eine weitere Meldung erfolgen. Sie ergänzt und aktualisiert die Frühwarnung.

Bei aktiv ausgenutzten Schwachstellen muss diese insbesondere allgemeine Angaben zur Art der Schwachstelle und ihrer Ausnutzung sowie zu bereits ergriffenen Korrektur- oder Risikominderungsmaßnahmen enthalten.

Bei schwerwiegenden Sicherheitsvorfällen sind unter anderem eine erste Bewertung des Vorfalls und Angaben zu bereits ergriffenen oder geplanten Abhilfemaßnahmen erforderlich.

3. Abschlussbericht

Für die Übermittlung des Abschlussberichts gelten unterschiedliche Fristen:

• Aktiv ausgenutzte Schwachstellen: Der Abschlussbericht muss spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme übermittelt werden (Art. 14 Abs. 2 Buchst. c CRA).
• Schwerwiegende Sicherheitsvorfälle: Der Abschlussbericht muss spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung erfolgen (Art. 14 Abs. 4 Buchst. c CRA).

Der Abschlussbericht enthält insbesondere weiterführende Angaben zum Sachverhalt, seinen Auswirkungen und den ergriffenen Maßnahmen.

Wichtig: Die Fristen von 24 und 72 Stunden beginnen jeweils mit der Kenntniserlangung. Die 72-Stunden-Frist läuft somit nicht erst ab Abgabe der Frühwarnung.

Müssen auch die Nutzer informiert werden?

Neben der Meldung an die zuständigen Behörden können Hersteller verpflichtet sein, die betroffenen Nutzer zu informieren.

Nach Art. 14 Abs. 8 CRA müssen Hersteller betroffene Nutzer unverzüglich über aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle informieren. Soweit erforderlich, müssen sie auch Maßnahmen mitteilen, mit denen die Nutzer die Auswirkungen begrenzen können. Die Meldung über die SRP ersetzt diese Informationspflicht nicht.

Welche Folgen drohen bei Verstößen gegen die Meldepflicht?

Verstöße gegen Art. 14 CRA können nach Art. 64 Abs. 2 CRA mit Geldbußen von bis zu 15 Millionen Euro oder, im Falle von Unternehmen, von bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden. Maßgeblich ist der jeweils höhere Betrag.

Eine Ausnahme gilt für Kleinstunternehmen und kleine Unternehmen: Nach Art. 64 Abs. 10 Buchst. a CRA dürfen ihnen für die Nichteinhaltung der 24-Stunden-Frist zur Frühwarnung keine Geldbußen auferlegt werden.

Die Meldepflicht selbst bleibt davon unberührt. Auch die weiteren Meldefristen müssen eingehalten werden.

Wie können sich Hersteller auf die CRA-Meldepflicht vorbereiten?

Die kurzen Meldefristen setzen voraus, dass Hersteller mögliche Schwachstellen und Sicherheitsvorfälle frühzeitig erkennen, bewerten und melden können. Die dafür erforderlichen Abläufe sollten bereits vor einem meldepflichtigen Ereignis feststehen.

Besonders wichtig sind folgende Maßnahmen:

• Verantwortlichkeiten festlegen: Bestimmen Sie, wer eingehende Hinweise prüft, die Meldepflicht bewertet und die Meldung veranlasst. Auch Vertretungsregelungen sollten feststehen.
• Produkte erfassen: Dokumentieren Sie, welche Produkte mit digitalen Elementen unter den CRA fallen, welche Versionen betroffen sein können und welche Komponenten darin enthalten sind.
• Meldewege einrichten: Stellen Sie sicher, dass Hinweise auf Schwachstellen und Sicherheitsvorfälle zentral erfasst und unverzüglich an die zuständigen Stellen weitergeleitet werden.
• Entscheidungsprozesse definieren: Legen Sie fest, anhand welcher Kriterien mögliche Meldetatbestände geprüft und Entscheidungen dokumentiert werden. Dabei sollte auch sichergestellt werden, dass der Zeitpunkt der Kenntniserlangung nachvollziehbar festgehalten wird.
• Zugang zur Meldeplattform vorbereiten: Bestimmen Sie die für die Meldung verantwortlichen Personen und klären Sie, welches CSIRT zuständig ist.

Wie erfolgt die Registrierung auf der Single Reporting Platform?

Die Meldung erfolgt über die Single Reporting Platform von ENISA. Für den Zugang benötigen die mit der Einreichung betrauten Personen ein persönliches EU-Login-Konto mit aktivierter Mehrfaktor-Authentifizierung.

ENISA bezeichnet diese Personen als „Assigned Representatives“. Dabei wird zwischen einem primären Vertreter („Primary Assigned Representative“) und weiteren Vertretern („Secondary Assigned Representatives“) unterschieden.

Der primäre Vertreter kann den Hersteller auf der Plattform registrieren und weitere Vertreter einladen. Das zuständige CSIRT prüft die Zuordnung der Vertreter zum Hersteller. Die Prüfung kann parallel zum Meldeverfahren erfolgen.

Die Rolle des Assigned Representative ist von einem Bevollmächtigten im Sinne des Art. 18 CRA zu unterscheiden.

Die Einreichung der Meldungen erfolgt derzeit über die Weboberfläche der SRP. Eine Programmierschnittstelle (API) steht nach den aktuellen Angaben von ENISA noch nicht zur Verfügung.

Was gilt, wenn die Plattform nicht erreichbar ist?

Ist die SRP vorübergehend nicht verfügbar, muss die Meldung nach Wiederherstellung der Plattform eingereicht werden. Hält der Hersteller bereits vorher eine unmittelbare Kommunikation für erforderlich, kann er das zuständige CSIRT direkt kontaktieren.

Auch in diesem Fall muss die Meldung anschließend über die SRP nachgereicht werden.

Welche weiteren Meldepflichten können bestehen?

Die Meldung nach dem CRA ersetzt nicht automatisch andere gesetzliche Meldepflichten. Je nach Unternehmen und betroffenem Sachverhalt können insbesondere Meldepflichten nach der Datenschutz-Grundverordnung (DSGVO), dem Bundesamt für Sicherheit in der Informationstechnik-Gesetz (BSIG) oder der DORA-Verordnung bestehen.

Dies kann beispielsweise relevant werden, wenn ein Unternehmen sowohl Hersteller eines Produkts mit digitalen Elementen als auch eine nach dem BSIG regulierte Einrichtung ist.

Die jeweiligen Meldepflichten unterscheiden sich hinsichtlich ihrer Voraussetzungen, Fristen und zuständigen Stellen. Unternehmen sollten deshalb bei jedem Sicherheitsvorfall prüfen, ob mehrere Meldetatbestände gleichzeitig erfüllt sind.

Was gilt bei Schwachstellen in zugekauften Komponenten?

Viele Produkte mit digitalen Elementen enthalten Software- oder Hardwarekomponenten anderer Hersteller. Wird eine Schwachstelle in einer solchen Komponente aktiv ausgenutzt, stellt sich die Frage, ob auch der Hersteller des Produkts, in das die Komponente integriert wurde, eine Meldung nach Art. 14 CRA abgeben muss.

Eine Meldepflicht entsteht nicht automatisch für jeden Hersteller, der die betreffende Komponente verwendet. Maßgeblich ist, ob die aktiv ausgenutzte Schwachstelle auch das jeweilige Produkt betrifft und die Voraussetzungen des Art. 14 CRA erfüllt sind.

Dabei kommt es insbesondere darauf an, wie die betroffene Komponente in das Produkt integriert ist und ob die Schwachstelle auch in dieser konkreten Verwendung ausgenutzt werden kann. Meldepflichten können sowohl den Hersteller der Komponente als auch den Hersteller des Produkts treffen, in das sie integriert wurde.

Welche Informationspflichten bestehen innerhalb der Lieferkette?

Der CRA enthält besondere Anforderungen an den Umgang mit Schwachstellen in integrierten Komponenten.

Nach Art. 13 Abs. 6 CRA müssen Hersteller unter den dort genannten Voraussetzungen den Hersteller oder die für die Wartung verantwortliche Stelle einer integrierten Komponente über festgestellte Schwachstellen informieren. Haben sie selbst eine Änderung zur Behebung der Schwachstelle entwickelt, müssen sie zudem den entsprechenden Code oder die Dokumentation zur Verfügung stellen.

Diese Anforderungen gelten grundsätzlich erst ab dem 11. Dezember 2027 und sind von den bereits seit September 2026 bestehenden Meldepflichten nach Art. 14 CRA zu unterscheiden.

Eine allgemeine, ausdrücklich geregelte Pflicht des Komponentenherstellers, sämtliche nachgelagerten Hersteller über jede ihm bekannt gewordene Schwachstelle zu informieren, enthält Art. 13 Abs. 6 CRA dagegen nicht.

Warum sollten Hersteller Informationspflichten vertraglich regeln?

Für Hersteller kann es schwierig sein, mögliche Meldepflichten rechtzeitig zu erkennen, wenn sie nicht oder nur verzögert über Sicherheitsprobleme in zugekauften Komponenten informiert werden.

Deshalb sollten Unternehmen mit ihren Zulieferern klare Informations- und Eskalationswege vereinbaren. Sinnvoll sind insbesondere Regelungen dazu, welche sicherheitsrelevanten Informationen weitergegeben werden müssen, innerhalb welcher Fristen dies zu erfolgen hat und welche Ansprechpartner zuständig sind.

Solche Vereinbarungen können dazu beitragen, Informationslücken innerhalb der Lieferkette zu vermeiden und mögliche Meldepflichten nach Art. 14 CRA rechtzeitig zu erfüllen.

Fazit: Entscheidend sind klare Meldeprozesse

Die Meldepflichten nach Art. 14 CRA gelten bereits seit dem 11. September 2026. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb kurzer Fristen melden. Die erste Frühwarnung muss unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung erfolgen.

Entscheidend ist deshalb, mögliche Meldetatbestände frühzeitig zu erkennen und intern schnell zu bewerten. Klare Zuständigkeiten, dokumentierte Entscheidungswege und ein vorbereiteter Zugang zur Single Reporting Platform erleichtern die fristgerechte Meldung.

Bei Produkten mit zugekauften Komponenten sollten Hersteller außerdem sicherstellen, dass sicherheitsrelevante Informationen rechtzeitig an die verantwortlichen Stellen gelangen.

Häufig gestellte Fragen zur CRA-Meldepflicht

Was passiert, wenn die 24-Stunden-Frist versäumt wird?

Ein Verstoß gegen die Meldepflicht nach Art. 14 CRA kann mit einer Geldbuße von bis zu 15 Millionen Euro oder, im Falle von Unternehmen, von bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden.

Für Kleinstunternehmen und kleine Unternehmen gilt eine Ausnahme: Für die Versäumung der 24-Stunden-Frist zur Frühwarnung dürfen ihnen keine Geldbußen auferlegt werden (Art. 64 Abs. 10 Buchst. a CRA). Die Meldepflicht bleibt dennoch bestehen.

Können Hersteller ihre Meldung per E-Mail abgeben?

Grundsätzlich nein. Die vorgeschriebene Meldung erfolgt über die Single Reporting Platform. Bei vorübergehender Nichtverfügbarkeit der Plattform können Hersteller bei dringendem Kommunikationsbedarf das zuständige CSIRT direkt kontaktieren. Die Meldung muss anschließend über die Plattform nachgereicht werden.

Gilt die Meldepflicht auch für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden?

Ja. Nach Art. 69 Abs. 3 CRA gelten die Meldepflichten des Art. 14 auch für Produkte mit digitalen Elementen, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden und in den Anwendungsbereich der Verordnung fallen.

Was unterscheidet die CRA-Meldung von einer Meldung nach NIS2?

Die CRA-Meldepflicht richtet sich an Hersteller von Produkten mit digitalen Elementen. Die Meldepflichten nach NIS2 beziehungsweise dem deutschen BSIG betreffen dagegen Einrichtungen, die unter die jeweiligen gesetzlichen Anforderungen fallen.

Beide Regelwerke unterscheiden sich hinsichtlich ihrer Meldevoraussetzungen und Meldewege. Ein Unternehmen kann deshalb verpflichtet sein, denselben Sachverhalt nach mehreren Vorschriften zu melden.

Müssen auch Unternehmen melden, die Produkte unter eigener Marke vertreiben?

Das hängt davon ab, ob das Unternehmen als Hersteller im Sinne des CRA einzustufen ist. Auch Unternehmen, die Produkte nicht selbst entwickeln oder herstellen, können die Voraussetzungen der Herstellerdefinition nach Art. 3 Nr. 13 CRA erfüllen.

Zusätzlich sehen Art. 21 und 22 CRA besondere Voraussetzungen vor, unter denen Einführer, Händler oder andere Personen den Herstellerpflichten unterliegen. Diese Bestimmungen sind jedoch grundsätzlich erst ab dem 11. Dezember 2027 anzuwenden.