Cyber Resilience Act: Meldepflichten für Hersteller gelten seit 11. September

Was passiert ist

Seit dem 11. September 2026 gelten die Meldepflichten aus Artikel 14 des Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847). Hersteller von Produkten mit digitalen Elementen – also Hard- und Software mit Datenverbindung – müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Laut EU-Kommission gilt ein dreistufiges Verfahren: eine Frühwarnung binnen 24 Stunden nach Kenntnis, eine ausführlichere Meldung binnen 72 Stunden und ein Abschlussbericht – bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei schweren Vorfällen binnen eines Monats nach der 72-Stunden-Meldung.

Gemeldet wird über die Single Reporting Platform (SRP) der EU-Cybersicherheitsagentur ENISA, die laut Kommission seit dem 11. September betriebsbereit ist. Eine Meldung erreicht das zuständige nationale CSIRT und zugleich ENISA.

Einordnung

Die Pflicht betrifft auch Produkte, die bereits auf dem Markt sind. Die übrigen CRA-Anforderungen, etwa an sichere Entwicklung und Konformitätsbewertung, gelten im Wesentlichen erst ab dem 11. Dezember 2027. Für Open-Source-Stewards – Organisationen, die freie Software dauerhaft für kommerzielle Nutzung bereitstellen – greifen die Meldepflichten laut Kommission ebenfalls erst ab diesem Datum. Mittelständische Hersteller sollten jetzt klären, wer im Ernstfall meldet, und interne Abläufe auf die 24-Stunden-Frist ausrichten.

Dieser Beitrag ersetzt keine Rechtsberatung.