CRA-Meldepflicht ab 11. September 2026: Was Hersteller jetzt wissen müssen
Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in einem gestuften Verfahren melden, auch für bereits am Markt befindliche Produkte.
Was gilt ab dem 11. September 2026?
Art. 14 CRA verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen in ihren Produkten sowie schwerwiegende Sicherheitsvorfälle über die Single Reporting Platform zu melden, gestuft in drei Phasen. Die Meldepflicht gilt auch für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden, nicht nur für Neuprodukte. Nicht jede bekannte Schwachstelle ist automatisch meldepflichtig (siehe Definitionen unten).
Frühwarnung: 24 Stunden
Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, mit den gesetzlich vorgegebenen Erstinformationen zur aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Vorfall.
Meldung: 72 Stunden
Mit Informationen zum betroffenen Produkt, zur Art der Schwachstelle bzw. des Vorfalls, einer ersten Bewertung sowie bereits ergriffenen oder möglichen Korrektur- und Risikominderungsmaßnahmen.
Abschlussbericht
Bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme. Bei Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.
Wer muss melden?
- Hersteller von Produkten mit digitalen Elementen, die dem CRA unterfallen und auf dem EU-Markt bereitgestellt werden, grundsätzlich unabhängig vom Sitz des Herstellers
- Gilt für Produkte, die bereits im Markt sind, nicht erst für Neueinführungen
- Meldepflichtig sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle
- Sonderfall Open Source: Bestimmte Meldepflichten treffen nach Art. 24 Abs. 3 CRA auch Open-Source-Software-Stewards, soweit sie an der Entwicklung beteiligt sind bzw. eigene Systeme betroffen sind
Wie und wohin wird gemeldet?
Die Meldung erfolgt über die von ENISA betriebene Single Reporting Platform (SRP) nach Art. 16 CRA, den einheitlichen elektronischen Meldeweg für alle betroffenen Hersteller. Darüber wird die Meldung dem für Deutschland als Koordinator benannten CSIRT übermittelt und grundsätzlich gleichzeitig ENISA zugänglich gemacht. Das zuständige CSIRT leitet die Informationen erforderlichenfalls an weitere betroffene CSIRTs in anderen Mitgliedstaaten weiter.
Hinweis: Stand 01.09.2026 geben ENISA und die Europäische Kommission an, dass die Single Reporting Platform ab dem 11. September 2026 für die verpflichtenden CRA-Meldungen betriebsbereit sein soll. Funktionale und sicherheitsbezogene Tests laufen derzeit noch. Wir empfehlen, die aktuellen Hinweise von ENISA zu verfolgen und die Meldewege zum national als Koordinator benannten CSIRT (in Deutschland voraussichtlich das BSI) unabhängig davon bereits vollständig vorzubereiten.
Definitionen: Wann wird tatsächlich meldepflichtig?
- Aktiv ausgenutzte Schwachstelle: Es müssen zuverlässige Nachweise vorliegen, dass ein böswilliger Akteur die Schwachstelle tatsächlich ohne Berechtigung ausgenutzt hat. Nicht jede bekannte oder theoretisch ausnutzbare Schwachstelle (z. B. jede CVE) löst allein dadurch Art. 14 aus.
- Schwerwiegender Sicherheitsvorfall (Art. 14 Abs. 5): insbesondere wenn er die Fähigkeit des Produkts beeinträchtigt, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler Daten oder Funktionen zu schützen, oder zur Einschleusung bzw. Ausführung bösartigen Codes geführt hat oder führen kann.
Was Sie jetzt vorbereiten sollten
- PSIRT-Prozess oder vergleichbare Zuständigkeit für Schwachstellenmeldungen etablieren
- Internen Eskalationsweg für die 24-Stunden-Frühwarnung festlegen
- Produktportfolio auf Betroffenheit prüfen (auch Bestandsprodukte)
- Kontaktweg zum als Koordinator benannten CSIRT (in Deutschland voraussichtlich das BSI) klären
- Dokumentationsvorlagen für Frühwarnung, Meldung und Abschlussbericht vorbereiten
- Kriterien zur Einstufung „aktiv ausgenutzter Schwachstellen" und „schwerwiegender Sicherheitsvorfälle" (Art. 14 Abs. 5) intern definieren
- Zeitpunkt der Kenntniserlangung revisionssicher dokumentieren
- Rollen und Vertretungsregelungen für die 24-Stunden-Erreichbarkeit festlegen
Meldeprozess rechtzeitig aufsetzen
Wir unterstützen Sie dabei, die CRA-Meldepflicht organisatorisch und prozessual vor dem 11. September 2026 handlungsfähig zu machen.