CRA-Meldepflichten seit dem 11. September 2026: Was Hersteller jetzt vorbereiten sollten

Was gemeldet werden muss

Zu melden sind zwei Arten von Ereignissen (Art. 14 der Verordnung (EU) 2024/2847):

• Aktiv ausgenutzte Schwachstellen: Schwachstellen eines eigenen Produkts, von denen bekannt ist, dass sie derzeit von einem böswilligen Akteur ausgenutzt werden.
• Schwerwiegende Sicherheitsvorfälle: Vorfälle mit erheblichen Auswirkungen auf die Sicherheit des Produkts, etwa auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit; die Kriterien stehen in Art. 14 Abs. 5.

Die Pflicht gilt nach Art. 69 Abs. 3 auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, also für den heutigen Bestand.

Fristen ab Kenntnis

Die 24 Stunden laufen ab Kenntnis, auch am Wochenende. Wer meldet und wer vertritt, gehört deshalb vorab geklärt.

An wen gemeldet wird

Gemeldet wird über die einheitliche Meldeplattform der ENISA. Empfänger ist das koordinierende CSIRT, bestimmt vor allem nach der Hauptniederlassung des Herstellers (Art. 14 Abs. 7); die ENISA erhält die Meldung gleichzeitig, und das koordinierende CSIRT gibt sie an die zuständigen Stellen weiter. Außerdem informiert der Hersteller die betroffenen Nutzer über die Schwachstelle oder den Vorfall und, wo nötig, über Maßnahmen zur Risikominderung (Art. 14 Abs. 8).

Sechs Punkte, die sich jetzt vorbereiten lassen

1. Zuständigkeit und Vertretung

Eine Person, die meldet, eine Vertretung und ein Weg, beide auch außerhalb der Arbeitszeit zu erreichen. Die Frist für die Frühwarnung lässt keinen Spielraum für die Suche nach Zuständigen.

2. Zugang zur Meldeplattform

Anmeldung und Auswahl des koordinierenden CSIRT lassen sich vor dem ersten Ernstfall erledigen. So kostet die erste Meldung keine Zeit für die Einrichtung.

3. Wissen, was verbaut ist

Ob eine neu bekannt gewordene Schwachstelle ein eigenes Produkt betrifft, lässt sich nur beantworten, wenn bekannt ist, welche Softwarebausteine in welcher Version verbaut sind. Eine Software-Stückliste je Produkt und Version beantwortet diese Frage; ab dem 11. Dezember 2027 gehört sie ohnehin zur technischen Dokumentation. Veröffentlicht werden muss sie deshalb nicht.

4. Quellen beobachten

Hinweise auf aktiv ausgenutzte Schwachstellen veröffentlichen unter anderem die US-Behörde CISA in ihrem Katalog bekannter ausgenutzter Schwachstellen, die europäische Schwachstellendatenbank der ENISA (EUVD) und die Hersteller zugekaufter Komponenten. Wer diese Quellen regelmäßig mit der eigenen Stückliste abgleicht, erfährt früher, ob er betroffen ist.

5. Vorlagen für die drei Stufen

Für Frühwarnung, Meldung und Abschlussbericht lassen sich die Angaben vorab als Vorlage festhalten: Produkt, Versionen, betroffene Bausteine, Kenntnis seit, Einordnung, Maßnahmen, Information der Nutzer. Dann bleibt in der Frist Zeit für die Bewertung.

6. Ein Weg für Hinweise von außen

Viele Schwachstellen melden Forschende oder Kunden. Eine feste Adresse für Sicherheitshinweise, etwa veröffentlicht in einer Datei security.txt, und ein Ablauf zur koordinierten Offenlegung sorgen dafür, dass solche Hinweise ankommen.

In eigener Sache: Mit Software vorbereiten

Das Modul „Software-Stückliste und Schwachstellen nach CRA“ der Marco Rau Prozessplattform erstellt die Stückliste aus Dateien, die es in Entwicklung und Fertigung meist schon gibt, gleicht sie mit dem Katalog der aktiv ausgenutzten Schwachstellen und weiteren bekannten Schwachstellen ab, hält Ihre Bewertung je Lücke fest und führt mit Fristenuhr und Vorlagen durch die Meldestufen. Ein Treffer im Katalog ist ein Hinweis für diese Bewertung; ob ein Produkt tatsächlich betroffen ist und ob gemeldet wird, entscheidet der Hersteller. Zum Beispielfall · Mehr zum Modul

Dieser Beitrag ist keine Rechtsberatung; ob und wie ein Produkt unter den Cyber Resilience Act fällt, ist im Einzelfall zu prüfen. Quellen: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 14 und Art. 69; ENISA, Faktenblatt zur Meldeplattform (September 2026, PDF); EU-Kommission, Meldepflichten nach dem CRA. Stand der Angaben: Oktober 2026.