6. September 2026 · Cyber Resilience Act · Regulatorik · Meldepflicht · Produktsicherheit

CRA-Meldepflicht ab 11. September: Was jetzt stehen muss

Am 11. September 2026 wird Artikel 14 CRA scharf – auch für den gesamten Bestand. Wen es trifft, was den 24-Stunden-Zähler startet und was bis dahin stehen muss.

In fünf Tagen greift die erste Pflicht des Cyber Resilience Act, die Hersteller unmittelbar trifft. Artikel 14 der Verordnung (EU) 2024/2847 gilt ab dem 11. September 2026 – rund 15 Monate vor allen Produktanforderungen, die erst am 11. Dezember 2027 folgen. Wir haben das Thema Ende Juli in seinen Grundzügen beschrieben; dieser Beitrag geht der Frage nach, was bis zum Stichtag tatsächlich stehen muss.

Der Vorbereitungsstand ist überschaubar. In einer Umfrage des Sicherheitsanbieters ONEKEY unter 200 deutschen Industrieunternehmen kennen 45 Prozent die Anforderungen kaum oder gar nicht; 62 Prozent nennen ausgerechnet die Meldepflicht als Hürde, 30 Prozent bezeichnen sie als ernsthaftes Problem. International sieht es nicht besser aus: In einer Erhebung der Linux Foundation vom Juni 2026 (843 Teilnehmer) gaben 66 Prozent an, mit dem CRA gar nicht oder nur oberflächlich vertraut zu sein.

Der Bestand ist ausdrücklich mitgemeint

Die wichtigste Einzelnorm für den Mittelstand steht in den Übergangsbestimmungen. Artikel 69 Absatz 2 schützt Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden – aber Absatz 3 nimmt Artikel 14 davon ausdrücklich aus: Die Meldepflichten gelten „für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich dieser Verordnung fallen und vor dem 11. Dezember 2027 in den Verkehr gebracht wurden“.

Für die Meldepflichten gibt es damit keinen Altbestandsschutz und keine Karenzzeit – anders als für die übrigen CRA-Anforderungen, die Artikel 69 Absatz 2 für Bestandsprodukte ausnimmt, solange sie nicht wesentlich geändert werden. Maschinen, die seit Jahren im Feld stehen, und Softwareversionen, die längst ausgeliefert sind, fallen ab dem 11. September darunter. Das BSI formuliert es in seiner Technischen Richtlinie TR-03183-1 genauso: Artikel 14 sei die Ausnahme von der Bestandsregel.

Wer gemeint ist – und wer es unfreiwillig wird

Verpflichtet ist der Hersteller. Entscheidend ist aber Artikel 21: Ein Einführer oder Händler gilt als Hersteller und unterliegt den Pflichten aus Artikel 14, wenn er ein Produkt unter seinem eigenen Namen oder seiner eigenen Marke in Verkehr bringt oder es wesentlich verändert.

Für Handel und Beschaffung ist das die teuerste Designentscheidung im Prozess. Wer die Fremdmarke stehen lässt, ist Einführer und schuldet vergleichsweise leichte Pflichten. Wer das eigene Logo aufklebt, ist Hersteller im vollen Umfang – einschließlich der 24-Stunden-Meldung. Ähnlich der Maschinenbau: Die Maschinenverordnung verdrängt den CRA nicht, beide gelten nebeneinander. Reines SaaS ohne ausgeliefertes Produkt fällt dagegen nicht unter den CRA; ob stattdessen NIS-2 greift, hängt von Sektor und Unternehmensgröße ab.

Was den 24-Stunden-Zähler wirklich startet

Hier lohnt Genauigkeit, weil die Verordnung drei Stufen unterscheidet. Eine „Schwachstelle“ (Art. 3 Nr. 40) und eine „ausnutzbare Schwachstelle“ (Nr. 41) lösen nichts aus. Meldepflichtig ist nur die „aktiv ausgenutzte Schwachstelle“ (Nr. 42) – definiert als eine, „zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“.

Ein CVE im eigenen Produkt, ein Pentest-Fund oder ein theoretisch ausnutzbarer Fehler starten die Uhr also nicht. Ein bestätigter Exploit in freier Wildbahn tut es.

Der zweite Meldestrang ist weiter, als sein Name vermuten lässt. Ein Sicherheitsvorfall gilt nach Artikel 14 Absatz 5 schon dann als schwerwiegend, wenn er sich negativ auf die Schutzfähigkeit des Produkts auswirkt „oder auswirken kann“. Maßstab ist die Sicherheit des ausgelieferten Produkts, nicht die Betriebsfähigkeit des eigenen Hauses – ein Vorfall, der Sie selbst kaum stört, kann nach CRA meldepflichtig sein.

Die Fristen

  • 24 Stunden ab Kenntnis: Frühwarnung. Bei der Schwachstelle gehört dazu die Angabe der Mitgliedstaaten, in denen das Produkt bereitgestellt wurde.
  • 72 Stunden ab Kenntnis: die eigentliche Meldung mit Produktangaben, Art der Ausnutzung und bereits ergriffenen Maßnahmen.
  • Abschlussbericht: bei der Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht – nicht ab Kenntnis. Beim Vorfall ein Monat nach der 72-Stunden-Meldung.

Gemeldet wird gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA, über die einheitliche Meldeplattform nach Artikel 16. Für deutsche Hersteller ist das CERT-Bund im BSI. Die Marktüberwachungsbehörde ist ausdrücklich kein Meldeadressat – die CSIRTs unterrichten sie ihrerseits.

Leicht übersehen wird Absatz 8: Sie müssen zusätzlich die betroffenen Nutzer informieren. Eine Zahlenfrist nennt die Verordnung dafür nicht, nur „rechtzeitig“ – bleibt der Hersteller untätig, darf das CSIRT die Nutzer selbst informieren.

Was das kostet, wenn es unterbleibt

Verstöße gegen Artikel 14 stehen in der höchsten Bußgeldkategorie des Artikels 64: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für Kleinst- und Kleinunternehmen sieht Artikel 64 Absatz 10 Buchstabe a eine Ausnahme vor: Für die Versäumung der 24-Stunden-Frist werden gegen sie keine Geldbußen verhängt; Erwägungsgrund 120 hält die Mitgliedstaaten zudem an, ihnen dafür auch keine anderen finanziellen Sanktionen aufzuerlegen. Die Ausnahme betrifft allein diese Frist – die Meldepflicht selbst und alle weiteren Fristen gelten unverändert.

Eine Entlastung an anderer Stelle sollten Sie nicht erwarten: Die Meldepflichten aus CRA, NIS-2 und DSGVO stehen nebeneinander, derselbe Vorfall kann alle drei auslösen, und keine ersetzt die andere. NIS-2 sieht immerhin eine zentrale Anlaufstelle vor, die die Mitgliedstaaten auch für Meldungen nach anderem Unionsrecht nutzen sollen – das vereinfacht den Weg, nicht die Pflicht.

Was bis zum 11. September stehen muss

  • Ein Meldeprozess, der in 24 Stunden trägt. Wer bemerkt, wer bewertet, wer entscheidet, wer meldet – benannt, mit Vertretung, auch am Freitagabend und über Betriebsferien.
  • Zugang zur ENISA-Plattform. Die Registrierung läuft über ein EU-Login mit Multifaktor-Authentifizierung. Beachten Sie: Die ENISA rät ausdrücklich davon ab, sich vorsorglich zu registrieren, und stellt zugleich klar, dass die Validierung keine Voraussetzung für die Erfüllung der Meldepflicht ist. Planen Sie mehr als eine meldeberechtigte Person ein.
  • Ein Produktinventar mit Marktbezug. Ohne die Information, in welchen Mitgliedstaaten ein Produkt bereitgestellt wurde, lässt sich die Frühwarnung nicht vollständig abgeben.
  • Ein Kanal zur Nutzerinformation nach Absatz 8 – Verteiler oder Advisory-Seite.
  • Eine interne Festlegung, wann „Kenntnis“ vorliegt. Die Verordnung definiert den Begriff nicht, obwohl die Frist daran hängt.

Rechnen Sie nicht mit einer Schonfrist. Bemerkenswert ist allerdings die Dimensionierung: Der deutsche Regierungsentwurf kalkuliert mit durchschnittlich 2.000 Meldungen pro Jahr, während der ZVEI in seiner Stellungnahme zum Referentenentwurf dagegenhält, das BSI verweise in seinem Lagebericht 2025 auf mehr als 42.000 Schwachstellen jährlich. Wie belastbar der Meldeweg im ersten Jahr ist, wird sich zeigen – an Ihrer Pflicht ändert das nichts.

Wie sector7 unterstützt

Wir bauen mit Ihnen den Meldeprozess so, dass er unter Zeitdruck trägt: Zuständigkeiten und Vertretung, Erreichbarkeit, ein Produktinventar mit Marktbezug und den Kanal zur Nutzerinformation. Die rechtliche Einordnung Ihrer Rolle nach Artikel 21 klären Sie mit Ihrer Rechtsberatung – wir setzen die daraus folgenden technischen und organisatorischen Anforderungen um. Mehr dazu unter Regulatorik & Compliance und Cyber Security.

Quellen

Sprechen wir über Ihre Situation.

Gespräch vereinbaren+49 212 240915 0