CRA-Meldepflicht gilt seit 11. September 2026
Seit dem 11. September 2026 gilt Artikel 14 des Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden melden, auch für Produkte, die schon seit Jahren auf dem Markt sind.
Was seit dem 11. September 2026 gilt
Der CRA ist am 10. Dezember 2024 in Kraft getreten und wird in Stufen wirksam. Die meisten Pflichten, etwa die grundlegenden Sicherheitsanforderungen und die CE-Kennzeichnung, gelten erst ab dem 11. Dezember 2027. Die Meldepflichten aus Artikel 14 gelten dagegen bereits seit dem 11. September 2026 (Art. 71 Abs. 2).
Wichtig: Die Meldepflicht gilt für alle Produkte im Anwendungsbereich, also auch für solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Ältere Firmware, eine Desktop-Software aus dem Jahr 2019 oder ein Gerät, das noch verkauft oder genutzt wird, sind nicht ausgenommen.
Wer melden muss
| Rolle | Pflicht |
|---|---|
| Hersteller von Hardware oder Software mit Datenverbindung, ob innerhalb oder außerhalb der EU ansässig | Volle Meldepflicht nach Art. 14 |
| Importeur oder Händler, der ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder wesentlich verändert (Art. 21) | Gilt als Hersteller, also volle Meldepflicht |
| Jede andere Person, die ein Produkt wesentlich verändert und auf dem Markt bereitstellt (Art. 22) | Gilt als Hersteller, also volle Meldepflicht |
| Importeur oder Händler im Übrigen | Keine eigene Meldung an die ENISA, aber Pflicht, den Hersteller unverzüglich zu informieren; bei einem erheblichen Cybersicherheitsrisiko auch die Marktüberwachungsbehörden (Art. 19, 20) |
| Verwalter quelloffener Software (Open-Source-Steward, z. B. eine Stiftung) | Eingeschränkt: Schwachstellen, soweit er an der Entwicklung beteiligt ist; Vorfälle, soweit sie Systeme betreffen, die er für die Entwicklung bereitstellt (Art. 24 Abs. 3). Geldbußen sind für ihn ausgeschlossen (Art. 64 Abs. 10) |
Kleinst- und Kleinunternehmen müssen genauso melden. Art. 64 Abs. 10 sieht für sie eine Erleichterung vor: Für das Verpassen der 24-Stunden-Frist der Frühwarnung sollen keine Geldbußen gelten. Der Wortlaut bezieht sich allerdings auf die Absätze 3 bis 9, während Verstöße gegen Art. 14 in Abs. 2 geregelt sind; wie weit die Ausnahme reicht, ist daher nicht abschließend geklärt. Die 72-Stunden-Meldung und der Abschlussbericht sind von der Erleichterung ohnehin nicht erfasst.
Wer nicht betroffen ist
- Produkte, für die eigenes EU-Recht gilt: Medizinprodukte und In-vitro-Diagnostika (MDR, IVDR) sowie Fahrzeuge nach der Verordnung (EU) 2019/2144 (Art. 2 Abs. 2), nach der Verordnung (EU) 2018/1139 zertifizierte Luftfahrtprodukte (Art. 2 Abs. 3) und Schiffsausrüstung (Art. 2 Abs. 4)
- Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt oder geändert werden, sowie Produkte speziell zur Verarbeitung von Verschlusssachen (Art. 2 Abs. 7)
- Ersatzteile, die baugleiche Komponenten nach derselben Spezifikation ersetzen (Art. 2 Abs. 6)
- Reines Software-as-a-Service, sofern es nicht als Datenfernverarbeitungslösung zu einem Produkt gehört, etwa als Cloud-Backend einer App oder eines Geräts. Für solche Dienste kann stattdessen NIS2 gelten.
- Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit bereitgestellt wird
Was gemeldet werden muss
1. Aktiv ausgenutzte Schwachstellen
Gemeint sind Schwachstellen in Ihrem Produkt, für die es verlässliche Hinweise gibt, dass Angreifer sie bereits ausnutzen. Es kommt nicht darauf an, ob Ihre eigenen Kunden betroffen sind. Ein typisches Signal ist die Aufnahme in den Katalog „Known Exploited Vulnerabilities“ (KEV) der CISA, auch wenn die Lücke in einer eingebundenen Bibliothek steckt.
2. Schwerwiegende Sicherheitsvorfälle
Ein Vorfall ist schwerwiegend, wenn er die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit wichtiger Daten oder Funktionen des Produkts beeinträchtigt oder beeinträchtigen kann, oder wenn er dazu geführt hat oder führen kann, dass Schadcode in das Produkt oder in die Systeme seiner Nutzer gelangt (Art. 14 Abs. 5). Darunter kann etwa ein manipuliertes Update fallen, das über einen kompromittierten Build-Server ausgeliefert wurde.
Fristen
| Stufe | Aktiv ausgenutzte Schwachstelle | Schwerwiegender Vorfall |
|---|---|---|
| Frühwarnung | innerhalb von 24 Stunden nach Kenntnis | innerhalb von 24 Stunden nach Kenntnis |
| Meldung | innerhalb von 72 Stunden: Produkt, Art der Ausnutzung, ergriffene und empfohlene Maßnahmen | innerhalb von 72 Stunden: Art des Vorfalls, erste Bewertung, Maßnahmen |
| Abschlussbericht | spätestens 14 Tage, nachdem eine Korrektur oder Abhilfe verfügbar ist | innerhalb eines Monats nach der Meldung |
Das als Koordinator benannte CSIRT kann zusätzlich einen Zwischenbericht zum aktuellen Stand anfordern (Art. 14 Abs. 6). Die Frist beginnt, sobald Sie Kenntnis erlangen, nicht erst, wenn ein Patch fertig ist. Wer Schwachstellenmeldungen nur einmal pro Woche sichtet, hat die 24 Stunden in der Regel schon verpasst.
Wohin die Meldung geht
Gemeldet wird über die zentrale Meldeplattform der ENISA (Single Reporting Platform, Art. 16). Die Meldung geht an das als Koordinator benannte CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat, und ist gleichzeitig für die ENISA zugänglich (Art. 14 Abs. 7); in Deutschland ist das das BSI. Als Hauptniederlassung gilt der Staat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden. Hersteller ohne Hauptniederlassung in der EU melden in dieser Reihenfolge an das CSIRT des Staates, in dem ihr Bevollmächtigter sitzt, in dem der Importeur oder Händler mit den meisten ihrer Produkte sitzt, oder in dem die meisten ihrer Nutzer sind.
Zusätzlich müssen Sie die Nutzer des betroffenen Produkts informieren und ihnen, wo nötig, Maßnahmen zur Abhilfe nennen (Art. 14 Abs. 8). Freiwillige Meldungen über Schwachstellen, Beinahe-Vorfälle und Bedrohungen sind ebenfalls möglich (Art. 15).
Was bei Verstößen droht
Verstöße gegen Artikel 14 können mit Geldbußen bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2).
Checkliste für die nächsten Wochen
- Produkte erfassen: Welche Ihrer Produkte haben digitale Elemente und sind auf dem EU-Markt, einschließlich älterer Versionen?
- Komponenten kennen: Für jede ausgelieferte Version eine aktuelle SBOM, damit Sie wissen, ob eine neue Lücke Sie betrifft.
- Laufend abgleichen: SBOMs automatisch mit Schwachstellendatenbanken und dem KEV-Katalog abgleichen, nicht nur zum Release.
- Zuständigkeit festlegen: Wer bewertet, wer meldet, wer vertritt im Urlaub? Die 24 Stunden gelten auch am Wochenende.
- Zugang vorbereiten: Konto für die ENISA-Meldeplattform und Kontaktweg zum BSI klären, bevor der erste Fall eintritt.
- Nutzerinformation vorbereiten: Vorlage und Kanal für Sicherheitshinweise an Kunden bereithalten.
- Lieferanten einbinden: Vertraglich regeln, dass Zulieferer Sie über ausgenutzte Lücken in ihren Komponenten schnell informieren.
Wie Secupipe hilft
Secupipe gleicht die SBOMs aus Ihren Pipelines laufend mit OSV, EPSS und dem KEV-Katalog ab. Taucht eine Schwachstelle in Ihren Komponenten als aktiv ausgenutzt auf, sehen Sie das sofort mit der laufenden 24-, 72-Stunden- und 14-Tage-Frist und einem vorbereiteten Meldeentwurf. Jeder Schritt wird protokolliert, damit Sie später belegen können, wann Sie Kenntnis hatten und wie Sie reagiert haben. Melden müssen Sie weiterhin selbst über die ENISA-Plattform.