CRA Meldepflichten starten: 24-Stunden-Frist ab 11. September

Am 11. September 2026 beginnen die CRA Meldepflichten für Hersteller vernetzter Hardware und Software. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen dann binnen 24 Stunden erstmals gemeldet werden. Die kurze Frist macht aus einem technischen Problem eine Aufgabe für Produktmanagement, Recht, IT und Kundenkommunikation.

CRA Meldepflichten starten vor dem übrigen Gesetz

Der Cyber Resilience Act, die Verordnung (EU) 2024/2847, ist bereits seit Dezember 2024 in Kraft. Vollständig angewendet wird er grundsätzlich ab dem 11. Dezember 2027. Artikel 14 mit den Meldepflichten wird jedoch 15 Monate früher wirksam. Hersteller müssen deshalb schon jetzt funktionierende Abläufe besitzen, obwohl andere Teile der Verordnung noch in der Übergangsphase stecken.

Erfasst werden Produkte mit digitalen Elementen. Dazu gehören Software und Hardware einschließlich bestimmter verbundener Fernverarbeitungslösungen, wenn ihre vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Verbindung zu einem Gerät oder Netzwerk umfasst. Ein reiner Onlinehändler wird durch den Verkauf eines solchen Produkts nicht automatisch zum Hersteller. Relevant wird die Herstellerrolle unter anderem für Unternehmen, die Produkte entwickeln oder herstellen lassen und unter dem eigenen Namen oder der eigenen Marke vermarkten. Gerade bei Eigenmarken sollte die Zuständigkeit deshalb nicht erst nach einem Vorfall geklärt werden.

Diese Rollenklärung ergänzt die bereits durch die GPSR verschärften Anforderungen an Herstellerangaben und Produktdaten. Im Krisenfall genügt es nicht, irgendwo im ERP eine Lieferantenadresse gespeichert zu haben. Das Unternehmen muss wissen, wer für welches Produkt und welche Softwareversion tatsächlich verantwortlich ist.

Welche Ereignisse Hersteller melden müssen

Die CRA Meldepflichten unterscheiden zwei Auslöser. Der erste ist eine aktiv ausgenutzte Schwachstelle. Dafür muss es verlässliche Belege geben, dass ein böswilliger Akteur die Schwachstelle ohne Erlaubnis in einem System ausgenutzt hat. Ein theoretisch ausnutzbarer Fehler, ein veröffentlichter Proof of Concept oder ein Fund durch einen Sicherheitsforscher löst für sich genommen noch keine Pflichtmeldung aus.

Das gilt auch für Zero-Day-Schwachstellen. Fehlt noch ein Patch, kann eine Meldung erforderlich sein, wenn eine böswillige Ausnutzung belegt ist. Wird dieselbe Lücke dagegen im Rahmen eines Bug-Bounty-Programms oder bei einem Labortest entdeckt, ohne Hinweise auf einen Angriff, handelt es sich nicht automatisch um eine aktiv ausgenutzte Schwachstelle.

Der zweite Auslöser ist ein schwerwiegender Vorfall mit Auswirkungen auf die Sicherheit des Produkts. Als schwerwiegend gilt ein Vorfall, wenn er die Fähigkeit des Produkts zum Schutz der Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit wichtiger Daten oder Funktionen beeinträchtigt oder beeinträchtigen kann. Erfasst werden außerdem Vorfälle, die zur Einschleusung oder Ausführung von Schadcode im Produkt oder im System eines Nutzers führen oder führen können. Ein bereits eingetretener Großschaden ist somit nicht in jedem Fall Voraussetzung.

24 Stunden, 72 Stunden und der Abschlussbericht

Die erste Warnung muss unverzüglich und spätestens 24 Stunden nach Kenntnis des Herstellers erfolgen. Innerhalb von 72 Stunden ist eine ausführlichere Meldung mit verfügbaren Angaben zum Produkt, zur Art der Schwachstelle oder des Vorfalls sowie zu ergriffenen und für Nutzer möglichen Schutzmaßnahmen einzureichen.

Bei einer aktiv ausgenutzten Schwachstelle folgt der Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur oder andere Abhilfemaßnahme verfügbar geworden ist. Bei einem schwerwiegenden Vorfall ist der Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Meldung fällig. Das Gesetz verlangt zudem, betroffene Nutzer und gegebenenfalls alle Nutzer über das Ereignis sowie notwendige Schutz- und Korrekturmaßnahmen zu informieren.

Der entscheidende Zeitpunkt ist die Kenntnis des Herstellers. Nach der Auslegung der EU-Kommission liegt sie vor, wenn eine erste Bewertung mit angemessener Sicherheit ergibt, dass eine Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Vorfall die Produktsicherheit beeinträchtigt hat. Unternehmen müssen daher festlegen, wer verdächtige Kundenmeldungen, Telemetriedaten, Hinweise von Behörden und Berichte von Sicherheitsforschern bewertet und den Fristenlauf dokumentiert.

ENISA-Plattform startet mit praktischen Grenzen

Die Meldungen laufen über die Single Reporting Platform der EU-Cybersicherheitsagentur ENISA. Nach den aktuellen ENISA-Informationen zur CRA-Meldeplattform soll das Portal am 11. September 2026 freigeschaltet werden. Zum Start nimmt es nur verpflichtende Meldungen entgegen. Freiwillige Meldungen nach Artikel 15 sollen erst in einer späteren Phase möglich werden.

Auch eine Programmierschnittstelle steht zunächst nicht zur Verfügung. Selbst Unternehmen mit automatisierten internen Abläufen müssen die Meldung daher über die Weboberfläche einreichen. Diese ist zum Start nur auf Englisch verfügbar. Für die Anmeldung benötigt jeder zuständige Mitarbeiter ein persönliches EU-Login-Konto mit aktivierter Mehrfaktor-Authentifizierung.

Pro Hersteller kann es einen primären und bis zu 20 weitere zugewiesene Vertreter geben. Die Zuordnung zum Unternehmen wird durch das zuständige koordinierende Computer Security Incident Response Team validiert. Für Hersteller mit Hauptniederlassung in Deutschland ist CERT-Bund beim Bundesamt für Sicherheit in der Informationstechnik als Koordinator aufgeführt. Die Validierung läuft parallel zum Meldeprozess und verhindert eine erste Meldung nicht.

Eine technische Besonderheit verdient Aufmerksamkeit: Der angezeigte 72-Stunden-Zähler setzt in der ersten Plattformversion 48 Stunden nach Abgabe der Frühwarnung an. Dadurch kann das System eine Meldung als verspätet markieren, bevor tatsächlich 72 Stunden seit Kenntnis des Ereignisses vergangen sind. ENISA stellt klar, dass der Plattformzähler nur eine Orientierung ist. Maßgeblich bleibt die gesetzliche Frist. Wer sich allein auf die Anzeige verlässt, delegiert die Fristenkontrolle an einen Zähler, den die Behörde selbst noch korrigieren will.

Altprodukte und fremde Komponenten bleiben im Blick

Die CRA Meldepflichten gelten auch für erfasste Produkte, die vor dem 11. Dezember 2027 auf den Markt gebracht wurden. Für solche Altprodukte besteht die Berichtspflicht, obwohl andere Anforderungen des CRA, etwa an die Behandlung von Schwachstellen, noch nicht in gleicher Weise greifen. Eine rückwirkende Sammelmeldung ist allerdings nicht vorgesehen: War die aktive Ausnutzung bereits vor dem 11. September 2026 bekannt, muss sie nicht nachträglich gemeldet werden. Wird sie erst danach bekannt, kann die Pflicht auch bei einer älteren Schwachstelle entstehen.

Bei integrierten Komponenten endet die Verantwortung nicht automatisch beim Zulieferer. Wird eine Schwachstelle einer fremden Komponente im fertigen Produkt aktiv ausgenutzt, muss auch der Hersteller dieses Produkts melden. Ist die Schwachstelle in seiner konkreten Integration dagegen nicht ausnutzbar, besteht insoweit keine verpflichtende Meldung. Diese Abgrenzung setzt voraus, dass Unternehmen ihre Komponenten und betroffenen Versionen schnell identifizieren können.

Open-Source-Software-Stewards werden nach der aktuellen ENISA-Klarstellung erst ab dem 11. Dezember 2027 von den besonderen Berichtspflichten des Artikels 24 Absatz 3 erfasst. Hersteller kommerzieller Produkte können sich darauf jedoch nicht berufen, wenn eine Open-Source-Komponente in ihrem eigenen Produkt aktiv ausgenutzt wird.

Was Hersteller vor dem 11. September festlegen sollten

Für die Praxis sind die CRA Meldepflichten vor allem ein Organisationsproblem. Hersteller sollten Produktverantwortung, Stellvertretungen und einen rund um die Uhr erreichbaren Eskalationsweg festlegen. EU-Login-Konten mit Mehrfaktor-Authentifizierung können vorbereitet werden. Ebenso nötig sind ein nachvollziehbarer Zeitpunkt der Kenntnis, aktuelle Produkt- und Versionsdaten sowie abgestimmte Vorlagen für Frühwarnung, Folgemeldung und Nutzerinformation.

Besonders bei Eigenmarken, älteren Produkten und umfangreichen Softwareabhängigkeiten müssen Einkauf, Entwicklung, Recht und Kundenservice dieselben Produktdaten verwenden. Das wird auch vor dem Hintergrund des neuen Produkthaftungsrechts für Software und digitale Produkte wichtiger. Die 24-Stunden-Frist lässt kaum Raum, erst im Ernstfall nach Zuständigkeiten, Komponentenlisten und Kontaktdaten zu suchen.

Der frühe Beginn der Meldepflicht ist damit mehr als eine Vorstufe zum vollständigen CRA. Ab dem 11. September zeigt sich, ob Hersteller ihre Produktsicherheit tatsächlich als laufenden Prozess behandeln oder nur als Akte für den späteren Konformitätsnachweis.

Faktenbox