Wie funktionieren die CRA-Meldepflichten ab dem 11.9.2026?

Warum die Meldepflichten früher greifen als die Hauptpflichten

Die Verordnung (EU) 2024/2847 ist am 10.12.2024 in Kraft getreten und sieht ein gestuftes Anwendungsdatum vor. Während die grundlegenden Cybersicherheits-Anforderungen, die Konformitätsbewertung und die CE-Kennzeichnung erst ab dem 11.12.2027 verbindlich werden, gelten die Meldepflichten nach Art. 14 bereits seit dem 11.09.2026 (Art. 71 Abs. 2 CRA). Für Hersteller bedeutet das: Prozesse für Schwachstellen- und Vorfallsmeldung müssen deutlich früher stehen als das übrige Compliance-Programm.

Was ausgelöst werden muss: der Meldeanlass

Die Meldepflicht knüpft an zwei Ereignisse an:

• eine aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen, das der Hersteller in Verkehr gebracht hat,
• einen schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts. Schwerwiegend ist ein Vorfall nach Art. 14 Abs. 5 CRA, wenn er die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder wenn er zum Einschleusen oder Ausführen von Schadcode im Produkt oder in den Netz- und Informationssystemen eines Nutzers geführt hat oder führen kann.

Beide Ereignisse lösen denselben dreistufigen Meldeprozess aus.

Der dreistufige Meldeprozess im Detail

1. Frühwarnung binnen 24 Stunden: Sobald der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Sicherheitsvorfall erlangt, ist innerhalb von 24 Stunden eine Frühwarnung abzugeben.
2. Vollständige Meldung binnen 72 Stunden: Innerhalb von 72 Stunden nach Kenntniserlangung folgt eine vollständigere Meldung mit weiteren Details zum Ereignis.
3. Abschlussbericht: Bei einer aktiv ausgenutzten Schwachstelle ist der Abschlussbericht spätestens 14 Tage einzureichen, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist (Art. 14 Abs. 2 lit. c CRA). Bei einem schwerwiegenden Sicherheitsvorfall gilt eine Frist von einem Monat nach Übermittlung der 72-Stunden-Vorfallsmeldung (Art. 14 Abs. 4 lit. c CRA).

Über welchen Kanal wird gemeldet?

Die Meldung erfolgt über die zentrale Meldeplattform, die ENISA betreibt (Art. 16 CRA), und zwar an den elektronischen Meldeendpunkt des als Koordinator benannten CSIRT (Computer Security Incident Response Team) des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat. ENISA erhält die Meldung gleichzeitig (Art. 14 Abs. 1, 3 und 7 CRA). Hat der Hersteller keine Hauptniederlassung in der Union, bestimmt sich das zuständige CSIRT in dieser Reihenfolge: Mitgliedstaat des Bevollmächtigten, der für die meisten Produkte des Herstellers handelt, dann des Einführers, der die meisten seiner Produkte in Verkehr bringt, dann des Händlers, der die meisten seiner Produkte bereitstellt, zuletzt der Mitgliedstaat mit den meisten Nutzern der Produkte des Herstellers (Art. 14 Abs. 7 UAbs. 3 CRA). Das Koordinator-CSIRT leitet die Meldung über die Plattform an die Koordinator-CSIRTs der Mitgliedstaaten weiter, in denen das Produkt nach Angabe des Herstellers bereitgestellt wurde; aus Cybersicherheitsgründen kann es diese Weitergabe aufschieben (Art. 16 CRA). Dieser zentrale Meldeweg soll verhindern, dass Hersteller dieselbe Schwachstelle oder denselben Vorfall in mehreren Mitgliedstaaten separat melden müssen.

Stufe	Frist	Adressat
Frühwarnung	24 Stunden ab Kenntnis	Meldeplattform → gleichzeitig Koordinator-CSIRT (Hauptniederlassung) und ENISA
Meldung	72 Stunden ab Kenntnis	Meldeplattform → gleichzeitig Koordinator-CSIRT (Hauptniederlassung) und ENISA
Abschlussbericht	14 Tage nach verfügbarer Korrekturmaßnahme (Schwachstelle) / 1 Monat nach der Vorfallsmeldung (Vorfall)	Meldeplattform → gleichzeitig Koordinator-CSIRT (Hauptniederlassung) und ENISA

Gilt die Meldepflicht auch für ältere Produkte?

Ja. Die Meldepflicht nach Art. 14 gilt auch für Produkte, die bereits vor dem 11.12.2027, also vor dem Anwendungsdatum der Hauptpflichten, in Verkehr gebracht wurden. Hersteller können sich damit nicht darauf berufen, dass ihr Produkt bereits vor der vollständigen CRA-Geltung auf dem Markt war, um sich der Meldepflicht zu entziehen.

Praktische Konsequenz für die Vorbereitung

Da die Meldepflichten bereits seit dem 11.09.2026 greifen, deutlich vor den Hauptpflichten, sollten Unternehmen Meldeprozesse und Zuständigkeiten umgehend festlegen: Wer erkennt eine aktiv ausgenutzte Schwachstelle, wer meldet innerhalb von 24 Stunden, und wie wird die 72-Stunden-Frist organisatorisch sichergestellt. Eine erste Einschätzung, ob und in welcher Rolle das eigene Unternehmen von diesen Pflichten betroffen ist, liefert der CRA-Betroffenheits-Check. Den Gesamtzusammenhang aller CRA-Fristen und Pflichtenkategorien fasst der Pillar-Artikel Cyber Resilience Act im Überblick zusammen.

Häufige Fragen

Muss jede Schwachstelle gemeldet werden?

Nein. Meldepflichtig sind nur aktiv ausgenutzte Schwachstellen (Art. 14 Abs. 1 CRA). Das sind Schwachstellen, für die zuverlässige Nachweise vorliegen, dass ein böswilliger Akteur sie ohne Erlaubnis des Systemeigentümers in einem System ausgenutzt hat (Art. 3 Nr. 42 CRA). Eine bloß vorhandene oder theoretisch ausnutzbare Schwachstelle löst die Meldepflicht nicht aus.

Was passiert, wenn eine Frist versäumt wird?

Verstöße gegen die Pflichten aus Art. 14 CRA sind ausdrücklich in Art. 64 Abs. 2 CRA erfasst: Geldbußen bis 15 Mio. Euro oder, bei Unternehmen, bis 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Hersteller, die Kleinst- oder Kleinunternehmen sind, nimmt Art. 64 Abs. 10 lit. a CRA für das Versäumen der 24-Stunden-Frist für die Frühwarnung (Art. 14 Abs. 2 lit. a, Abs. 4 lit. a) von den Geldbußen aus. Die konkrete Höhe legen die Mitgliedstaaten und Marktüberwachungsbehörden unter Berücksichtigung der Umstände des Einzelfalls fest (Art. 64 Abs. 1, 5 CRA).

Ist die Meldung an ein einzelnes CSIRT ausreichend?

Ja, eine Meldung genügt. Sie geht über die zentrale Meldeplattform gleichzeitig an das als Koordinator benannte CSIRT und an ENISA (Art. 14 Abs. 1 und 3 CRA). Die Weitergabe an die CSIRTs weiterer Mitgliedstaaten, in denen das Produkt bereitgestellt wurde, übernimmt das Koordinator-CSIRT (Art. 16 CRA).

Quellen

• Europäische Kommission, CRA Reporting Obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert 11.08.2026)
• EU-Kommission, Cyberresilienzgesetz: https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act (verifiziert: 18.09.2026)