Die CRA-Meldefrist zum 11. September: Was gemeldet werden muss, wann und wohin
| Interlynk
Die erste verbindliche Anforderung des EU Cyber Resilience Act wird am 11. September 2026 wirksam. Hier steht, für wen sie gilt, was Unternehmen melden müssen und wie der Meldeprozess abläuft.
Übersicht
Der Großteil des Cyber Resilience Act gilt erst ab dem 11. Dezember 2027. Eine wichtige Anforderung kommt deutlich früher.
Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von Stunden an EU-Behörden melden.
Das ist die erste feste Frist der CRA, und sie umfasst Produkte, die bereits auf dem Markt sind, nicht nur Produkte, die nach der Frist auf den Markt kommen. Dieser Leitfaden erklärt, wer betroffen ist, was eine Meldung auslöst, wie schnell ein Unternehmen handeln muss, wohin die Meldung geht und die zwei verwandten Pflichten, die leicht übersehen werden.
CRA-Meldung auf einen Blick
Ab dem 11. September 2026 verlangt Artikel 14 von Herstellern, eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall in einem betroffenen Produkt an das koordinierende nationale CSIRT und an die ENISA zu melden, über eine einzige Plattform. Der Prozess hat drei Stufen: eine erste Warnung innerhalb von 24 Stunden, eine vollständigere Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb von 14 Tagen, nachdem eine Abhilfemaßnahme verfügbar ist. Bei einem schwerwiegenden Vorfall ist der Abschlussbericht innerhalb eines Monats nach der Vorfallmeldung fällig. Die Anforderung gilt für Produkte, die bereits auf dem EU-Markt bereitgestellt wurden. Bußgelder bei Verstößen können bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes erreichen.
Rechtsgrundlage: Artikel 14 und die Frist zum 11. September
Die CRA ist formell die Verordnung (EU) 2024/2847 [1]. Sie ist im Dezember 2024 in Kraft getreten und gilt vollständig ab dem 11. Dezember 2027. Die Meldepflicht beginnt früher, am 11. September 2026, nach Artikel 14. Das verschafft Regulierungsbehörden frühe Transparenz über ausgenutzte Schwächen in digitalen Produkten, bevor der Rest des Rahmens wirksam wird.
Diese Unterscheidung ist wichtig, weil sie oft missverstanden wird. Artikel 14 schafft eine eigenständige, zeitkritische Meldepflicht. Die umfassenderen Anforderungen an das Schwachstellenmanagement in Anhang I sowie Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung sind in Artikel 13 geregelt und gelten in der Regel ab Dezember 2027. Ein Hersteller muss nicht kurz vor voller CRA-Compliance stehen, um Artikel 14 zu unterliegen. Wenn die Meldepflicht gilt, beginnt die Frist im September 2026, unabhängig davon, wie weit das übrige Compliance-Programm fortgeschritten ist.
Wer betroffen ist
Die Pflicht gilt für Hersteller von Produkten mit digitalen Elementen. Das ist eine weit gefasste Kategorie. Sie umfasst Software, Hardware, Lösungen zur Datenfernverarbeitung sowie Software- oder Hardwarekomponenten, die separat auf dem Markt bereitgestellt werden. Die CRA gilt sektorübergreifend für Produkte, die in der EU bereitgestellt werden, wobei einige Produktkategorien unter andere EU-Regeln fallen und ausgenommen sind.
Zwei Punkte können ein Unternehmen früher als erwartet unter die Regel bringen.
Bereits auf dem Markt befindliche Produkte zählen. Nach Artikel 69(3) umfasst die Meldepflicht betroffene Produkte, die vor der Frist bereits auf dem EU-Markt waren. Sie ist nicht auf Produkte beschränkt, die nach dem 11. September 2026 in Verkehr gebracht werden. Wenn ein vor mehreren Jahren ausgeliefertes Produkt in der EU noch verkauft oder bereitgestellt wird, kann es weiterhin in den Anwendungsbereich von Artikel 14 fallen. Unternehmen brauchen zuverlässige Aufzeichnungen darüber, was sie ausgeliefert haben, welche Versionen betroffen sind und wo diese Produkte bereitgestellt wurden.
Hersteller außerhalb der EU sind nicht automatisch ausgenommen. Wenn ein Unternehmen mit Sitz außerhalb der EU Produkte in den europäischen Markt verkauft, kann die Pflicht es über seinen Bevollmächtigten, Einführer oder Händler erreichen. Der Verkauf von außerhalb der EU hebt die Meldeverantwortung für sich genommen nicht auf.
Was gemeldet werden muss
Artikel 14 konzentriert sich auf zwei bestimmte Situationen. Er verlangt keine Meldung für jede CVE oder jedes Sicherheitsproblem.
Eine aktiv ausgenutzte Schwachstelle. Damit ist eine Schwachstelle im Produkt gemeint, die ein böswilliger Akteur entdeckt hat und in der realen Welt ausnutzt. Auslöser ist der Beleg einer tatsächlichen Ausnutzung, nicht nur eine theoretische Möglichkeit. Ein hoher CVSS-Wert, ein öffentlich verfügbarer Proof of Concept oder eine gewöhnliche Schwachstellenoffenlegung setzt die Meldefrist nicht automatisch in Gang. Die Belege müssen darauf hindeuten, dass die Schwachstelle im Produkt ausgenutzt wird.
Ein schwerwiegender Vorfall. Das ist ein Sicherheitsvorfall, der erhebliche Auswirkungen auf die Sicherheit des Produkts oder seiner Nutzer hat oder haben könnte.
Die Guidance der Europäischen Kommission vom 27. Juli 2026 ergänzt zwei nützliche Punkte [3].
Erstens hat der Ausdruck „Kenntnis erlangen" eine bestimmte Bedeutung. Die Frist beginnt, nachdem eine erste Bewertung dem Hersteller mit hinreichender Sicherheit ergibt, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird oder dass ein schwerwiegender Vorfall eingetreten ist. Ein Gerücht oder ein ungeprüfter Hinweis setzt die Frist nicht automatisch in dem Moment in Gang, in dem er eintrifft.
Zweitens hängen Drittanbieter-Schwachstellen davon ab, ob der betroffene Code erreichbar ist und im Produkt ausgenutzt wird. Wenn eine aktiv ausgenutzte Schwachstelle aus einer von Ihnen integrierten Komponente stammt, ist eine Meldung nach Artikel 14 erforderlich, sobald diese Schwachstelle in Ihrem Produkt aktiv ausgenutzt wird. Ist der betroffene Code nicht erreichbar oder wird er in Ihrem Produkt nicht ausgenutzt, ist auf dieser Grundlage keine Meldung nach Artikel 14 erforderlich, auch wenn andere Upstream- und Schwachstellenmanagement-Pflichten weiterhin gelten können. Diese Einschätzung schnell zu treffen, erfordert ein genaues Komponenteninventar und eine Möglichkeit, festzustellen, ob der betroffene Code erreichbar ist.
Der Meldeablauf
Artikel 14 sieht einen dreistufigen Meldeprozess vor. Die ersten beiden Schritte sind für eine aktiv ausgenutzte Schwachstelle und einen schwerwiegenden Vorfall gleich. Der Zeitpunkt des Abschlussberichts unterscheidet sich.
Stufe | Frist | Inhalt |
|---|---|---|
Frühwarnung | Innerhalb von 24 Stunden nach Kenntniserlangung | Hinweis, dass eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall vorliegt |
Vollständige Meldung | Innerhalb von 72 Stunden nach Kenntniserlangung | Eine ausführlichere technische Bewertung, einschließlich getroffener Abhilfe- oder Minderungsmaßnahmen |
Abschlussbericht | Innerhalb von 14 Tagen, nachdem eine Abhilfemaßnahme für eine Schwachstelle verfügbar ist, oder innerhalb eines Monats bei einem schwerwiegenden Vorfall | Einzelheiten zur Schwachstelle oder zum Vorfall, beteiligte böswillige Akteure und die zur Behebung ergriffenen Schritte |
Die Frist für den Abschlussbericht einer Schwachstelle wird leicht falsch verstanden. Die 14-Tage-Frist beginnt, wenn eine Abhilfe- oder Minderungsmaßnahme verfügbar wird. Sie beginnt nicht, wenn der Hersteller erstmals Kenntnis von der Schwachstelle erlangt. Bei einem schwerwiegenden Vorfall ist der Abschlussbericht innerhalb eines Monats nach der nach der Vorfallmeldung. Das sind kurze Fenster, daher muss der Meldeprozess bereit sein, bevor ein Vorfall eintritt. Es wird nicht genug Zeit bleiben, ihn während einer laufenden Reaktion von Grund auf zu entwerfen.
Wohin und wie gemeldet wird
Meldungen werden über die einheitliche Meldeplattform der CRA, die Single Reporting Platform oder SRP, eingereicht. Die ENISA muss die Plattform nach Artikel 16 einrichten und bis zum 11. September 2026 betriebsbereit haben [2]. Eine Testphase wird vorab erwartet.
Der Prozess ist auf eine einzige Einreichung ausgelegt. Der Hersteller meldet an das koordinierende CSIRT, also das CSIRT, das seiner Hauptniederlassung in der EU zugeordnet ist. Die Meldung wird zudem über die Plattform der ENISA zur Verfügung gestellt. Für Folgemeldungen kann der Hersteller weiterhin über dasselbe koordinierende CSIRT arbeiten. Es ist nicht nötig, jedem EU-Mitgliedstaat separate Meldungen zu senden.
Da die Plattform noch ausgerollt wird, während die Frist näher rückt, sollten Unternehmen die aktuelle SRP-Seite der ENISA und die CRA-Meldeseite der Europäischen Kommission auf die neuesten Registrierungs- und Einreichungshinweise prüfen. Verlassen Sie sich nicht auf eine ältere Beschreibung der Funktionsweise der Plattform.
Die Pflichten, die Teams übersehen
Die Behördenmeldung ist nur ein Teil der Reaktion. Zwei zusätzliche Pflichten werden leicht übersehen.
Benachrichtigen Sie den Komponentenhersteller oder Maintainer. Wenn eine in Ihrem Produkt aktiv ausgenutzte Schwachstelle aus einer Drittkomponente stammt, müssen Sie den Hersteller oder Maintainer dieser Komponente benachrichtigen. Bei Produkten, die aus vielen Bibliotheken und Modulen bestehen, wird Ihr Komponenteninventar dadurch nicht nur zu einer Aufzeichnung dessen, was im Produkt steckt, sondern auch zu einer operativen Kontaktliste.
Benachrichtigen Sie die Nutzer. Sobald Sie Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall erlangen, müssen Sie die betroffenen Nutzer, und gegebenenfalls alle Nutzer, über das Problem und die möglichen Abhilfemaßnahmen informieren. Die Benachrichtigung muss unverzüglich erfolgen. Benachrichtigt der Hersteller die Nutzer nicht, kann das CSIRT dies direkt tun.
Beide Pflichten hängen von derselben grundlegenden Fähigkeit ab wie die Behördenmeldung: zu wissen, was in jedem Produkt steckt, welche Versionen betroffen sind und wer kontaktiert werden muss.
Praktische Schritte vor dem 11. September
Die Meldeanforderung ist eng gefasst, aber die Reaktionszeit ist unerbittlich. Vor dem 11. September sollte ein Unternehmen eine Frage schnell beantworten können: Wenn eine Schwachstelle ausgenutzt wird, welche unserer Produkte und Versionen enthalten sie, und wer muss informiert werden?
Bestimmen Sie Ihren Anwendungsbereich. Erstellen Sie eine Liste der Produkte mit digitalen Elementen, die Sie auf dem EU-Markt bereitgestellt haben, einschließlich älterer Produkte, die noch genutzt oder noch verkauft werden. Bestandsprodukte können in den Anwendungsbereich fallen.
Führen Sie eine aktuelle SBOM je Produkt. Die 24- und 72-Stunden-Fristen sind schwer einzuhalten, wenn Sie Ihre Komponenten nicht identifizieren und mit der ausgenutzten Schwachstelle abgleichen können. Eine aktuelle SBOM kann den Unterschied zwischen einer Reaktion am selben Tag und einer hektischen manuellen Untersuchung ausmachen.
Verbinden Sie Exploit-Monitoring mit Ihrem Inventar. Aktive Ausnutzung unterscheidet sich von theoretischem Risiko, und nur aktive Ausnutzung setzt diese Meldefrist in Gang. Threat Intelligence sollte mit Ihrem Komponenteninventar verbunden sein, damit ein glaubwürdiges Signal schnell betroffenen Produkten zugeordnet werden kann.
Bereiten Sie die Meldewege vor. Entwerfen Sie Vorlagen für die Behördenmeldung, die Benachrichtigung des Upstream-Komponentenherstellers oder Maintainers und die Nutzermeldung. Das Schreiben sollte nicht mit einer bereits laufenden 24-Stunden-Frist beginnen.
Legen Sie klare Verantwortlichkeiten fest. Entscheiden Sie, wer feststellt, dass das Unternehmen Kenntnis von einem meldepflichtigen Ereignis hat, wer die SRP-Meldung einreicht und wer die Nutzer kontaktiert. Die Verordnung setzt voraus, dass diese Verantwortlichkeiten zugewiesen sind.
Die Anforderungen an das Schwachstellenmanagement in Anhang I werden erst im Dezember 2027 verbindlich, ein vollständiges CRA-Schwachstellenmanagement-Programm ist also bis September 2026 nicht erforderlich. Erforderlich ist die Fähigkeit, Ausnutzung zu erkennen, die betroffenen Produkte über ihre Komponenten zu finden und innerhalb der vorgegebenen Fristen zu melden.
Fazit
Der 11. September 2026 wird der erste echte Test der CRA sein, und er kommt mehr als ein Jahr, bevor die Verordnung vollständig gilt. Die Meldeanforderung beschränkt sich auf aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, aber die Reaktionszeiten sind anspruchsvoll.
Die praktische Herausforderung läuft auf Transparenz hinaus. Unternehmen müssen wissen, was in ihren Produkten steckt, über jede noch auf dem Markt befindliche Version hinweg, und sie müssen Expositionsfragen in Stunden statt Tagen beantworten. Teams, die ihre SBOMs als lebende operative Daten behandeln, sind deutlich besser aufgestellt, um fristgerecht zu melden. Teams, die eine SBOM als einmal erstelltes und abgelegtes Dokument behandeln, rekonstruieren ihr Inventar möglicherweise noch, während die Uhr läuft.
Zu den Anforderungen, die mit der vollständigen CRA-Anwendung kommen, einschließlich der SBOM-Felder aus BSI TR-03183, siehe unseren Leitfaden zu SBOM-Anforderungen für die CRA.
Interlynk hilft Herstellern, audit-fähige SBOMs bei jedem Build zu pflegen, Schwachstellen über den Produktlebenszyklus zu überwachen und Fragen wie „Welche Produkte und Versionen enthalten diese Komponente?" in Minuten zu beantworten. Erzeugen Sie SBOMs in CycloneDX oder SPDX, halten Sie sie aktuell und seien Sie bereit, im Zeitrahmen der CRA zu reagieren. Erfahren Sie mehr über unsere Lösung für den Cyber Resilience Act. Vertraut von Sicherheits- und Compliance-Teams in über 100 regulierten Unternehmen.
Demo buchen · Kostenlos starten
Dieser Leitfaden gibt den CRA-Text, die Verordnung (EU) 2024/2847, und die unverbindliche Anwendungs-Guidance der Europäischen Kommission vom 27. Juli 2026 wieder. Er wurde zum Zeitpunkt der Veröffentlichung auf Richtigkeit geprüft. Plattformmodalitäten und offizielle Guidance können sich vor der Frist ändern. Bestätigen Sie aktuelle Details auf der Single-Reporting-Platform-Seite der ENISA und der CRA-Meldeseite der Europäischen Kommission und ziehen Sie Ihre eigene Rechtsberatung hinzu. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Referenzen
Verordnung (EU) 2024/2847, der Cyber Resilience Act (EUR-Lex): https://eur-lex.europa.eu/eli/reg/2024/2847/oj
ENISA, Single Reporting Platform (SRP): https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
Europäische Kommission, Cyber Resilience Act, Meldepflichten: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting