Wie funktionieren die CRA-Meldepflichten ab dem 11.9.2026?

Warum die Meldepflichten früher greifen als die Hauptpflichten

Die Verordnung (EU) 2024/2847 ist am 10.12.2024 in Kraft getreten und sieht ein gestuftes Anwendungsdatum vor. Während die grundlegenden Cybersicherheits-Anforderungen, die Konformitätsbewertung und die CE-Kennzeichnung erst ab dem 11.12.2027 verbindlich werden, gelten die Meldepflichten nach Art. 14 bereits ab dem 11.09.2026. Für Hersteller bedeutet das: Prozesse für Schwachstellen- und Vorfallsmeldung müssen deutlich früher stehen als das übrige Compliance-Programm.

Was ausgelöst werden muss: der Meldeanlass

Die Meldepflicht knüpft an zwei Ereignisse an:

• eine aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen, das der Hersteller in Verkehr gebracht hat,
• einen schwerwiegenden Sicherheitsvorfall, der Auswirkungen auf die Sicherheit des Produkts hat.

Beide Ereignisse lösen denselben dreistufigen Meldeprozess aus.

Der dreistufige Meldeprozess im Detail

1. Frühwarnung binnen 24 Stunden: Sobald der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Sicherheitsvorfall erlangt, ist innerhalb von 24 Stunden eine Frühwarnung abzugeben.
2. Vollständige Meldung binnen 72 Stunden: Innerhalb von 72 Stunden nach Kenntniserlangung folgt eine vollständigere Meldung mit weiteren Details zum Ereignis.
3. Abschlussbericht: Der Abschlussbericht ist spätestens 14 Tage nach der Korrekturmaßnahme bei einer Schwachstelle beziehungsweise einen Monat nach einem Sicherheitsvorfall einzureichen.

Über welchen Kanal wird gemeldet?

Die Meldung erfolgt über die CRA Single Reporting Platform. Von dort geht die Information an das CSIRT (Computer Security Incident Response Team) am Sitz des Herstellers. Das zuständige CSIRT gibt die Meldung an die ENISA sowie an andere betroffene CSIRTs in der EU weiter. Dieser zentrale Meldeweg soll verhindern, dass Hersteller dieselbe Schwachstelle oder denselben Vorfall in mehreren Mitgliedstaaten separat melden müssen.

Stufe	Frist	Adressat
Frühwarnung	24 Stunden	CRA Single Reporting Platform → CSIRT am Herstellersitz
Vollständige Meldung	72 Stunden	CRA Single Reporting Platform → CSIRT am Herstellersitz
Abschlussbericht	14 Tage (Schwachstelle) / 1 Monat (Vorfall)	CRA Single Reporting Platform → CSIRT am Herstellersitz

Gilt die Meldepflicht auch für ältere Produkte?

Ja. Die Meldepflicht nach Art. 14 gilt auch für Produkte, die bereits vor dem 11.12.2027, also vor dem Anwendungsdatum der Hauptpflichten, in Verkehr gebracht wurden. Hersteller können sich damit nicht darauf berufen, dass ihr Produkt bereits vor der vollständigen CRA-Geltung auf dem Markt war, um sich der Meldepflicht zu entziehen.

Praktische Konsequenz für die Vorbereitung

Da die Meldepflichten bereits ab dem 11.09.2026 greifen, deutlich vor den Hauptpflichten, sollten Unternehmen Meldeprozesse und Zuständigkeiten frühzeitig festlegen: Wer erkennt eine aktiv ausgenutzte Schwachstelle, wer meldet innerhalb von 24 Stunden, und wie wird die 72-Stunden-Frist organisatorisch sichergestellt. Eine erste Einschätzung, ob und in welcher Rolle das eigene Unternehmen von diesen Pflichten betroffen ist, liefert der CRA-Betroffenheits-Check. Den Gesamtzusammenhang aller CRA-Fristen und Pflichtenkategorien fasst der Pillar-Artikel Cyber Resilience Act im Überblick zusammen.

Häufige Fragen

Muss jede Schwachstelle gemeldet werden?

Nach den vorliegenden Quellen betrifft die Meldepflicht aktiv ausgenutzte Schwachstellen, nicht jede theoretisch vorhandene Schwachstelle. Für die genaue Abgrenzung im Einzelfall ist der Verordnungstext heranzuziehen.

Was passiert, wenn eine Frist versäumt wird?

Die Verordnung sieht in Art. 64 allgemeine Sanktionen von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Ob und wie sich dies auf eine versäumte Meldefrist im Einzelfall auswirkt, bedarf einer individuellen rechtlichen Prüfung.

Ist die Meldung an ein einzelnes CSIRT ausreichend?

Die Meldung erfolgt an das CSIRT am Herstellersitz über die CRA Single Reporting Platform. Die Weitergabe an ENISA und andere betroffene CSIRTs übernimmt anschließend das zuständige CSIRT.

Quellen

• Europäische Kommission, CRA Reporting Obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert 11.08.2026)
• ENISA, Cyber Resilience Act: https://www.enisa.europa.eu/topics/cyber-resilience-act (verifiziert 11.08.2026)