Die Cyber Resilience Act Meldepflicht gilt seit dem 11. September 2026 und verändert, wie Hersteller vernetzter Produkte mit Sicherheitslücken umgehen. Wer Software, Firmware oder smarte Hardware in der EU vertreibt, muss aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle jetzt innerhalb fester Fristen melden. Die erste Frist beträgt nur 24 Stunden.
Damit endet für viele Unternehmen die Zeit, in der sie Sicherheitsprobleme still im Entwicklerteam lösen konnten. Die Meldung läuft über eine zentrale Plattform der EU-Agentur für Cybersicherheit ENISA, und sie erreicht die zuständigen Behörden in den Mitgliedstaaten. Das betrifft nicht nur Konzerne, sondern auch mittelständische Maschinenbauer, Softwarehäuser und Start-ups mit IoT-Produkten.
In diesem Beitrag erfährst du, was die Cyber Resilience Act Meldepflicht genau verlangt, für wen sie gilt, wie die drei Meldestufen ablaufen und wie du deinen internen Prozess so aufstellst, dass er auch an einem Freitagabend funktioniert.
Inhaltsverzeichnis
Was ist die Cyber Resilience Act Meldepflicht?
Die Cyber Resilience Act Meldepflicht ist die Pflicht von Herstellern nach Artikel 14 der EU-Verordnung 2024/2847, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in Produkten mit digitalen Elementen zu melden. Die Meldung erfolgt gestuft: Frühwarnung binnen 24 Stunden, ausführliche Meldung binnen 72 Stunden und ein Abschlussbericht. Empfänger sind das zuständige CSIRT und die ENISA.
Der Cyber Resilience Act, kurz CRA, ist seit dem 10. Dezember 2024 in Kraft. Die meisten Anforderungen an Produktdesign, Konformitätsbewertung und CE-Kennzeichnung gelten erst ab dem 11. Dezember 2027. Die Meldepflichten hat der Gesetzgeber bewusst vorgezogen: Sie gelten bereits seit dem 11. September 2026.
Wichtig ist der Unterschied zur NIS2-Richtlinie. NIS2 knüpft an Unternehmen und deren Dienste an, der CRA dagegen an Produkte. Ein Unternehmen kann also unter beide Regime fallen, wenn es selbst als wichtige Einrichtung gilt und zugleich Produkte mit digitalen Elementen herstellt. Ob das bei dir zutrifft, klärst du am besten parallel mit einer Prüfung deiner NIS2-Betroffenheit.
Für wen gilt die Cyber Resilience Act Meldepflicht?
Die Pflicht trifft in erster Linie Hersteller von Produkten mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Dazu zählen Hardware mit Software-Komponenten ebenso wie reine Softwareprodukte, die als Produkt vertrieben werden. Als Hersteller gilt auch, wer ein Produkt unter eigenem Namen oder eigener Marke vermarktet.
Typische betroffene Produkte
- vernetzte Industriekomponenten wie Steuerungen, Gateways und Sensoren
- Router, Firewalls, Kameras und andere Netzwerkgeräte
- Smart-Home-Geräte und Wearables
- Desktop- und Mobile-Software, die als Produkt verkauft oder lizenziert wird
- Firmware und eingebettete Software in Maschinen und Anlagen
Für Bestandsprodukte gibt es keine Schonfrist. Die Meldepflicht erfasst auch Produkte, die schon vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Sie greift also für Geräte, die seit Jahren im Feld laufen, sofern sie weiterhin auf dem Markt bereitgestellt werden. Rückwirkend musst du nach Einschätzung von Fachkanzleien aber keine Ausnutzung melden, von der du bereits vor dem 11. September 2026 wusstest.
Sonderfall Open Source
Für sogenannte Verwalter quelloffener Software, also etwa Stiftungen, die Open-Source-Projekte dauerhaft unterstützen, gelten eigene Regeln. Ihre Meldepflichten beginnen laut EU-Kommission erst am 11. Dezember 2027. Wer als Unternehmen Open-Source-Komponenten in eigene Produkte einbaut, bleibt dagegen selbst Hersteller und damit seit September 2026 meldepflichtig. Wie stark Firmen inzwischen auf offene Basissoftware setzen, zeigt auch der Trend zur Open-Source-Firmware in Geräten und Servern.
Was genau musst du melden?
Die Cyber Resilience Act Meldepflicht kennt zwei Auslöser. Beide setzen voraus, dass du als Hersteller davon Kenntnis erlangt hast. Ab diesem Moment laufen die Fristen.
Aktiv ausgenutzte Schwachstellen
Gemeint sind Sicherheitslücken, für die es verlässliche Hinweise gibt, dass Angreifer sie tatsächlich ausnutzen. Eine theoretische Lücke aus einem Pentest oder ein Proof of Concept auf einer Konferenz reicht dafür nicht. Entscheidend ist der Nachweis eines realen Angriffs, etwa durch eigene Telemetrie, Hinweise von Kunden oder Warnungen von Sicherheitsbehörden.
Schwerwiegende Sicherheitsvorfälle
Ein Vorfall gilt nach Artikel 14 Absatz 5 als schwerwiegend, wenn er die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler Daten oder Funktionen zu schützen. Gleiches gilt, wenn er zur Einschleusung oder Ausführung von Schadcode geführt hat oder führen kann. Ein typisches Beispiel ist ein kompromittierter Update-Server, über den manipulierte Firmware verteilt werden könnte.
Typische Grenzfälle in der Praxis
Nicht jede Sicherheitsmeldung löst die Cyber Resilience Act Meldepflicht aus. Eine Lücke, die ein Forscher verantwortungsvoll an dich meldet und die nachweislich noch niemand ausnutzt, ist zunächst ein Fall für dein Schwachstellenmanagement. Du schließt sie, informierst Kunden über das Update und dokumentierst den Vorgang.
Anders sieht es aus, sobald Hinweise auf Angriffe auftauchen. Dann wird aus derselben Lücke eine meldepflichtige Schwachstelle, und die 24 Stunden beginnen. Halte deshalb schriftlich fest, wann und auf welcher Grundlage du entschieden hast, ob die Cyber Resilience Act Meldepflicht greift. Diese Dokumentation schützt dich, falls eine Behörde später nachfragt.
Ein weiterer Grenzfall sind Lücken in Komponenten von Zulieferern. Steckt die ausgenutzte Schwachstelle in einer zugekauften Bibliothek, bleibt die Cyber Resilience Act Meldepflicht trotzdem bei dir, sobald dein Produkt betroffen ist. Zusätzlich verlangt der CRA, dass du dem Verantwortlichen der Komponente die Lücke mitteilst.
Fristen der Cyber Resilience Act Meldepflicht im Überblick
Die Meldung läuft in drei Stufen. Für Schwachstellen und Vorfälle sind die ersten beiden Fristen identisch, nur der Abschlussbericht unterscheidet sich.
- Frühwarnung innerhalb von 24 Stunden: Du meldest, dass eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall vorliegt, und nennst, falls bekannt, die betroffenen Mitgliedstaaten.
- Meldung innerhalb von 72 Stunden: Du lieferst allgemeine Angaben zum Produkt, zur Art der Ausnutzung oder des Vorfalls, eine erste Bewertung und bereits ergriffene oder empfohlene Korrektur- und Risikominderungsmaßnahmen.
- Abschlussbericht: Bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur verfügbar ist. Bei schwerwiegenden Vorfällen spätestens einen Monat nach der 72-Stunden-Meldung. Er enthält eine detaillierte Beschreibung, den Schweregrad, die Ursache und, soweit bekannt, Informationen über die Angreifer.
Die 24-Stunden-Frist der Cyber Resilience Act Meldepflicht ist knapp, aber bewusst niedrigschwellig angelegt. Niemand erwartet in diesem Stadium eine vollständige Analyse. Die Behörden wollen früh wissen, dass etwas passiert, damit sie Warnungen koordinieren können.
Für Kleinst- und Kleinunternehmen enthält die Verordnung eine Erleichterung: Für das Versäumen der 24-Stunden-Frist der Frühwarnung sieht Artikel 64 Absatz 10 keine Geldbußen vor. Die Meldepflicht selbst bleibt aber bestehen, ebenso die 72-Stunden-Frist.
Wie läuft die Meldung über die ENISA-Plattform?
Alle Pflichtmeldungen gehen über die Single Reporting Platform (SRP) der ENISA, die am 11. September 2026 gestartet ist. Die Plattform leitet die Meldung gleichzeitig an die ENISA und an das CSIRT weiter, das in dem Mitgliedstaat deiner Hauptniederlassung als Koordinator benannt ist. Dieses CSIRT teilt die Informationen mit anderen betroffenen Staaten.
Laut den FAQ der ENISA zur Single Reporting Platform brauchst du für den Zugang ein EU-Login-Konto mit Multi-Faktor-Authentifizierung. Zunächst registriert sich ein hauptverantwortlicher Ansprechpartner, danach lassen sich weitere Vertreter hinzufügen. Die Oberfläche war zum Start nur auf Englisch verfügbar, freiwillige Meldungen nach Artikel 15 sollen erst in einer späteren Ausbaustufe möglich sein.
Daraus folgt eine ganz praktische Aufgabe: Registriere dein Unternehmen, bevor der erste Ernstfall eintritt. Wer erst im Vorfall ein EU-Login einrichtet, verliert wertvolle Stunden.
Nutzer informieren: die zweite Seite der Meldepflicht
Die Cyber Resilience Act Meldepflicht endet nicht bei den Behörden. Nach Artikel 14 Absatz 8 musst du betroffene Nutzerinnen und Nutzer und, wo angemessen, alle Nutzer über eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall informieren. Dazu gehören auch Hinweise, wie sie die Folgen eindämmen können.
Die Verordnung nennt dafür ausdrücklich ein strukturiertes, maschinenlesbares Format, wo dies sinnvoll ist. In der Praxis bieten sich Security Advisories im CSAF-Format an, die Kunden automatisiert auswerten können. Informierst du nicht rechtzeitig, kann das CSIRT die Nutzer selbst warnen.
Für B2B-Hersteller hat das eine strategische Dimension. Industriekunden erwarten zunehmend, dass Lieferanten Sicherheitsinformationen über eine feste Schnittstelle bereitstellen, statt PDFs per E-Mail zu verschicken. Wer das gut löst, verwandelt eine Pflicht in ein Vertrauensargument im Vertrieb.
Cyber Resilience Act Meldepflicht im Unternehmen umsetzen
Die größte Hürde ist selten die Plattform, sondern die Organisation dahinter. Die Frage lautet: Wer im Unternehmen erfährt zuerst von einer ausgenutzten Lücke, und wie schnell landet die Information bei der Person, die meldet? Diese sieben Schritte helfen dir beim Aufbau.
- Produktinventar erstellen: Liste alle Produkte mit digitalen Elementen auf, die du auf dem EU-Markt bereitstellst, inklusive Softwareversionen und Support-Zeiträumen.
- SBOM pflegen: Eine Software-Stückliste zeigt dir in Minuten, ob eine öffentlich bekannte Lücke in einer Bibliothek deine Produkte betrifft.
- Meldewege definieren: Lege fest, über welche Kanäle Hinweise eingehen, etwa eine Security-Kontaktadresse, ein Bug-Bounty-Programm oder der Kundensupport.
- Bewertungsteam benennen: Ein kleines Team aus Produktsicherheit, Entwicklung und Recht entscheidet, ob eine Meldepflicht vorliegt.
- Rufbereitschaft regeln: Die 24 Stunden laufen auch am Wochenende. Plane Vertretungen und eine erreichbare Entscheidungsperson ein.
- Vorlagen vorbereiten: Halte Textbausteine für Frühwarnung, 72-Stunden-Meldung und Kundeninformation bereit.
- Übungen durchführen: Spiele mindestens einmal im Jahr einen realistischen Fall durch, vom Hinweis bis zur abgeschlossenen Meldung.
Viele dieser Bausteine überschneiden sich mit einem allgemeinen Krisenhandbuch. Es lohnt sich daher, die CRA-Abläufe direkt in deinen IT-Notfallplan zu integrieren, statt einen zweiten, isolierten Prozess zu schaffen.
Rollen von Importeuren und Händlern
Importeure und Händler melden nicht selbst an die ENISA. Erfahren sie jedoch von einer Schwachstelle, müssen sie unverzüglich den Hersteller informieren. Für dich als Hersteller heißt das: Deine Vertriebspartner sollten wissen, an welche Adresse sie solche Hinweise schicken.
Welche Sanktionen drohen und was kommt noch?
Verstöße gegen die Pflichten aus Artikel 13 und 14 können nach Artikel 64 mit Geldbußen von bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Die konkrete Durchsetzung liegt bei den nationalen Marktüberwachungsbehörden.
Schwerer als ein Bußgeld wiegt oft der Reputationsschaden. Wenn ein CSIRT deine Kunden warnt, weil du selbst geschwiegen hast, ist das Vertrauen schnell beschädigt. Zudem können Behörden bei Produkten mit erheblichem Risiko weitere Maßnahmen bis hin zum Rückruf anordnen.
Ein Hinweis zur Einordnung: Dieser Artikel ersetzt keine Rechtsberatung. Gerade bei der Frage, ob ein Vorfall schwerwiegend ist oder wer im Konzern als Hersteller gilt, solltest du Fachleute für Produktsicherheitsrecht einbeziehen.
Ausblick: Was sich noch ändern könnte
Die EU-Kommission hat Ende 2025 im Rahmen des sogenannten Digital Omnibus vorgeschlagen, Meldepflichten aus mehreren Rechtsakten wie NIS2, DSGVO und DORA über eine einheitliche Anlaufstelle zu bündeln, die auf der CRA-Plattform aufbaut. Stand Oktober 2026 ist dieses Verfahren nicht abgeschlossen, Änderungen sind möglich. Prüfe deshalb regelmäßig die Informationen der EU-Kommission zu den CRA-Meldepflichten.
Zudem dürften Leitlinien der Kommission und Erfahrungsberichte der CSIRTs in den kommenden Monaten konkretisieren, wann ein Vorfall als schwerwiegend gilt. Wer seinen Prozess jetzt sauber dokumentiert, kann solche Präzisierungen später leicht einarbeiten.
Fazit: Cyber Resilience Act Meldepflicht als Chance für Produktsicherheit
Die Cyber Resilience Act Meldepflicht ist seit September 2026 Realität, und sie erfasst auch Produkte, die längst im Feld sind. Die Fristen von 24 Stunden, 72 Stunden und dem Abschlussbericht lassen sich nur einhalten, wenn Inventar, SBOM, Zuständigkeiten und der Zugang zur ENISA-Plattform vorher stehen.
Sieh die Cyber Resilience Act Meldepflicht deshalb nicht als bürokratischen Zusatz, sondern als Anlass, dein Schwachstellenmanagement zu professionalisieren. Bis Dezember 2027 folgen die übrigen Anforderungen des CRA. Wer die Meldeprozesse jetzt beherrscht, hat dafür bereits ein solides Fundament gelegt.
Häufige Fragen zu Cyber Resilience Act Meldepflicht
Was fällt unter die Cyber Resilience Act Meldepflicht?
Meldepflichtig sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in Produkten mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Eine Lücke ist aktiv ausgenutzt, wenn verlässliche Hinweise auf reale Angriffe vorliegen. Ein Vorfall ist schwerwiegend, wenn er den Schutz sensibler Daten oder Funktionen beeinträchtigt oder Schadcode einschleusen kann.
Wann gilt die Cyber Resilience Act Meldepflicht?
Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Die übrigen Anforderungen des Cyber Resilience Act, etwa an das sichere Produktdesign und die CE-Kennzeichnung, greifen ab dem 11. Dezember 2027. Für Verwalter quelloffener Software beginnen die Meldepflichten laut EU-Kommission ebenfalls erst im Dezember 2027.
Wie schnell muss ein Hersteller melden?
Die Frühwarnung muss innerhalb von 24 Stunden nach Kenntnis erfolgen, die ausführlichere Meldung innerhalb von 72 Stunden. Der Abschlussbericht folgt bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei schwerwiegenden Vorfällen spätestens einen Monat nach der 72-Stunden-Meldung. Die Fristen laufen auch an Wochenenden und Feiertagen.
Welche Stelle nimmt die Meldungen entgegen?
Hersteller melden über die Single Reporting Platform der ENISA, die seit dem 11. September 2026 in Betrieb ist. Die Plattform leitet jede Meldung an die ENISA und an das koordinierende CSIRT im Mitgliedstaat der Hauptniederlassung weiter. Für den Zugang benötigst du ein EU-Login-Konto mit Multi-Faktor-Authentifizierung.
Warum betrifft die Meldepflicht auch ältere Produkte?
Der Cyber Resilience Act erstreckt die Meldepflichten ausdrücklich auch auf Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Damit sollen Sicherheitslücken in Geräten, die lange im Einsatz bleiben, ebenfalls schnell bekannt werden. Für Hersteller bedeutet das: Auch das Bestandsportfolio gehört in Inventar, SBOM und Meldeprozess.
