Ab dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act (CRA) . Hersteller von Produkten mit digitalen Elementen müssen dann aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb definierter Fristen an die zuständigen Behörden melden. Unternehmen sollten daher bereits heute ihre Prozesse für Schwachstellenmanagement und Incident Response auf die neuen Anforderungen ausrichten.
Welche Ereignisse sind meldepflichtig?
Der CRA unterscheidet zwischen zwei Kategorien:
Aktiv ausgenutzte Schwachstellen
- Sicherheitslücken, die nachweislich von Angreifern ausgenutzt werden
- Ein bestimmter Schwachstellentyp, CVSS-Wert oder Zero-Day-Status allein reichen für die Einstufung noch nicht aus
- Eine im Bug-Bounty-Programm gemeldete Zero-Day-Lücke ohne Nachweis böswilliger Ausnutzung ist beispielsweise nicht verpflichtend zu melden, kann aber nach Artikel 15 freiwillig gemeldet werden.
Schwerwiegende Sicherheitsvorfälle mit Auswirkung auf die Sicherheit eines Produktes mit digitalen Elementen
- Ein Sicherheitsvorfall gilt für die CRA-Meldepflicht als schwerwiegend, wenn er die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder wenn er zur Einführung oder Ausführung von Schadcode im Produkt beziehungsweise im Netzwerk- und Informationssystem eines Nutzers geführt hat oder führen kann
- Etwa erfolgreiche Cyberangriffe, die Verfügbarkeit, Integrität oder Vertraulichkeit beeinträchtigen
Das dreistufige Meldeschema
Der CRA verlangt ein gestuftes Meldeverfahren:
| Ereignis | Frühwarnung | Folgemeldung | Abschlussbericht |
|---|---|---|---|
| Aktiv ausgenutzte Schwachstelle |
unverzüglich, spätestens 24 Stunden ab Kenntniserlangung |
unverzüglich, spätestens 72 Stunden |
spätestens 14 Tage, nachdem eine Abhilfe- oder Minderungsmaßnahme verfügbar ist |
| Schwerwiegender Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts mit digitalen Elementen |
unverzüglich, spätestens 24 Stunden ab Kenntniserlangung |
unverzüglich, spätestens 72 Stunden |
innerhalb von einem Monat nach der 72-Stunden-Vorfallsmeldung |
1. Frühwarnung innerhalb von 24 Stunden
Sobald ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall erlangt, muss eine erste Meldung erfolgen.
2. Meldung innerhalb von 72 Stunden
Innerhalb von 72 Stunden sind weitere Informationen bereitzustellen, darunter:
- betroffene Produkte
- Auswirkungen des Vorfalls
- bekannte Ursachen
- eingeleitete Gegenmaßnahmen
3. Abschlussbericht: unterschiedliche Fristen
Bei einer aktiv ausgenutzten Schwachstelle ist der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme einzureichen. Bei einem schwerwiegenden Sicherheitsvorfall ist er innerhalb eines Monats nach der 72-Stunden-Meldung fällig.
Wann beginnt die Frist?
Die Fristen starten ab dem Zeitpunkt der Kenntniserlangung. Unternehmen können daher nicht warten, bis eine vollständige technische Analyse vorliegt. Klare Eskalationswege und Verantwortlichkeiten sind notwendig, um Fristüberschreitungen zu vermeiden.
Wer erhält die Meldung?
Die Meldungen erfolgen über die von ENISA bereitgestellte zentrale Meldeplattform (Single Reporting Plattform, SRP). Die Informationen werden anschließend an die zuständigen nationalen CSIRTs und Marktüberwachungsbehörden weitergeleitet. Ziel ist ein europaweit einheitlicher Informationsaustausch zu Cyberbedrohungen.
Für welche Produkte gilt die Meldepflicht?
Artikel 14 gilt ab 11. September 2026 für alle Produkte mit digitalen Elementen im CRA-Anwendungsbereich, auch wenn sie bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Nach Auffassung der EU-Kommission besteht die Meldepflicht auch nach Ende des Unterstützungszeitraums fort. Keine rückwirkende Pflicht besteht für aktive Ausnutzungen, von denen der Hersteller bereits vor dem 11. September 2026 wusste. War vor diesem Datum nur die Schwachstelle bekannt und tritt die aktive Ausnutzung später ein oder wird sie erst später bekannt, greift die Meldepflicht allerdings.
Schwachstellen in Drittanbieter-Komponenten
Stammt eine Schwachstelle aus einer integrierten Drittkomponente, muss der Hersteller sie nach Ansicht der EU-Kommission nur dann verpflichtend nach Artikel 14 melden, wenn sie in seinem eigenen Produkt aktiv ausgenutzt wurde. Eine freiwillige Meldung, Schwachstellenbehandlung und gegebenenfalls eine Information an den Komponentenhersteller bleiben davon unberührt.
Information betroffener Nutzer
Neben der Behördenmeldung müssen Hersteller die betroffenen Nutzer und, soweit angemessen, alle Nutzer über die aktiv ausgenutzte Schwachstelle oder den schwerwiegenden Sicherheitsvorfall informieren. Erforderlichenfalls sind konkrete Risikominderungs- und Korrekturmaßnahmen zu nennen, die Nutzer selbst ergreifen können. Die Information erfolgt risikobasiert und verhältnismäßig; technische Details können bei sensiblen Produkten auf die betroffenen Adressaten begrenzt werden.
Was Unternehmen jetzt tun sollten
Mit Blick auf den 11. September 2026 sollten Hersteller sicherstellen, dass sie:
Fazit
Mit den ab September 2026 geltenden CRA-Meldepflichten beginnt die erste operative Umsetzungsphase des Cyber Resilience Act. Hersteller müssen in der Lage sein, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle schnell zu erkennen, zu bewerten und fristgerecht zu melden. Wer die erforderlichen Prozesse frühzeitig etabliert, reduziert regulatorische Risiken und stärkt die Sicherheit seiner Produkte nachhaltig.
