Kurz beantwortet: Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden — binnen 24 Stunden eine Frühwarnung, binnen 72 Stunden eine ausführliche Meldung, danach einen Abschlussbericht. Empfänger sind gleichzeitig das koordinierende CSIRT und die ENISA. Die Pflicht gilt auch für Produkte, die längst ausgeliefert sind.
Der verbreitete Irrtum lautet: „Der Cyber Resilience Act kommt 2027, das hat Zeit." Er kommt in zwei Stufen. Die Meldepflicht nach Artikel 14 ist die erste, und sie ist die unangenehmere — denn sie greift nicht beim nächsten Produktrelease, sondern beim nächsten Vorfall.
Wen es betrifft
Adressat ist der Hersteller eines Produkts mit digitalen Elementen. Das ist weiter gefasst, als viele annehmen: nicht nur Software, sondern auch vernetzte Hardware — von der Maschinensteuerung über das IoT-Gateway bis zur mobilen App. Wer ein solches Produkt in der EU in Verkehr bringt, ist gemeint.
Ausgenommen sind Bereiche, die eigenen sektorspezifischen Regeln folgen, unter anderem Medizinprodukte, Kraftfahrzeuge, Luftfahrt und Schiffsausrüstung. Dort gelten die dortigen Melderegelungen — teils mit kürzeren Fristen.
Zwei Auslöser, drei Stufen
Artikel 14 kennt zwei Ereignisse. Der erste ist eine aktiv ausgenutzte Schwachstelle: Es geht nicht darum, ob eine Lücke ausnutzbar wäre, sondern ob sie ausgenutzt wird. Der zweite ist ein schwerwiegender Sicherheitsvorfall. Absatz 5 definiert ihn in zwei Fällen: Das Ereignis beeinträchtigt die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen — oder es führt dazu, dass böswilliger Code eingeführt oder ausgeführt wird. Bemerkenswert: Es genügt, dass diese Wirkung eintreten kann.
Beide Ereignisse durchlaufen dieselben drei Stufen:
- Frühwarnung — unverzüglich, in jedem Fall binnen 24 Stunden nach Kenntniserlangung.
- Ausführliche Meldung — binnen 72 Stunden nach Kenntniserlangung.
- Abschlussbericht — und hier trennen sich die Wege.
Die Frühwarnung darf dünn sein. Sie verlangt im Kern, wer meldet, welches Produkt in welcher Version betroffen ist, worum es geht und in welchen Mitgliedstaaten das Produkt bereitgestellt wurde. Fehlende Angaben werden nachgereicht. Eine verspätete Meldung lässt sich dagegen nicht nachholen.
Der Fehler, der teuer wird
Beim Abschlussbericht hängt die Frist an unterschiedlichen Ankern — und das wird in der Praxis regelmäßig verwechselt.
Bei einer aktiv ausgenutzten Schwachstelle ist der Abschlussbericht binnen 14 Tagen fällig, gerechnet ab dem Zeitpunkt, zu dem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht. Solange keine verfügbar ist, läuft für den Abschlussbericht überhaupt keine Frist.
Bei einem schwerwiegenden Sicherheitsvorfall ist er binnen eines Monats fällig, gerechnet ab der abgesetzten 72-Stunden-Meldung. Hier hängt die Frist also an einer eigenen Handlung des Herstellers, nicht am Fortschritt der Fehlerbehebung.
Wer beide Fälle über einen Kamm schert, rechnet in einem der beiden falsch. Ausführlich mit Beispielen: Die Fristen nach Artikel 14 im Überblick und Schwachstelle oder Vorfall — welcher Pfad gilt?
An wen gemeldet wird
Gemeldet wird gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA — kein Nacheinander, keine Wahlmöglichkeit. Zuständig ist das CSIRT des Mitgliedstaats der Hauptniederlassung; bei Herstellern ohne Niederlassung in der Union greift eine Ersatzregel. Die Übermittlung läuft über die einheitliche Meldeplattform nach Artikel 16, die sich noch im Aufbau befindet. Mehr dazu: Wer bekommt die Meldung?
Die Pflicht, die gerne untergeht
Absatz 8 verlangt zusätzlich, die betroffenen Nutzer zu informieren — über die Schwachstelle beziehungsweise den Vorfall und, soweit erforderlich, über Risikominderungsmaßnahmen. Das ist keine Kür und kein Marketingtext, sondern läuft parallel zur Behördenmeldung.
Was das praktisch heißt
Drei Dinge lohnen sich unabhängig vom Stichtag:
- Eine belastbare Liste der eigenen Produkte mit Versionen und Supportzeitraum.
- Eine Stückliste der Softwarebestandteile je Release — die brauchen Sie ohnehin ab dem 11. Dezember 2027 für die technische Dokumentation.
- Ein festgelegter Ablauf: Wer ist im Ernstfall binnen 24 Stunden erreichbar und darf melden?
Am dritten Punkt scheitert es in der Praxis. Eine 24-Stunden-Frist ist keine Aufgabe für die nächste Sprintplanung, sondern für eine benannte Person mit Vertretung. Und sie läuft auch am Samstag.
Ein Werkzeug dafür — kostenlos
Wir haben den Ablauf in ein Werkzeug gegossen: den CRA-Meldeassistenten. Er prüft die Meldepflicht ab, rechnet alle Fristen aus dem Kenntniszeitpunkt, führt durch die Pflichtangaben je Stufe und erzeugt einen einreichungsfertigen Meldetext auf Deutsch und Englisch — dazu ein Vorgangsprotokoll als internen Nachweis.
Zwei Dinge, die er ausdrücklich nicht tut: Er reicht keine Meldung ein — das nehmen Sie über die Meldeplattform selbst vor. Und er ist keine Rechtsberatung.
Ihre Eingaben verlassen dabei den Browser nicht. Es gibt kein Konto und keine Speicherung auf unseren Servern; auch die PDF-Erzeugung läuft lokal. Das ist kein Nebenmerkmal, sondern Voraussetzung: In so einem Formular stehen unveröffentlichte Schwachstellen.
Und ab 2027
Die Meldepflicht ist der erste Stichtag. Am 11. Dezember 2027 folgen die übrigen Herstellerpflichten — grundlegende Anforderungen, Konformitätsbewertung, technische Dokumentation, Supportzeitraum. Wer den ersten Stichtag als Einzelereignis behandelt, fängt ein Jahr später wieder von vorn an. Der Ausblick: Was ab dem 11. Dezember 2027 dazukommt. Und wenn Sie zugleich unter NIS2 fallen: CRA und NIS2 — wann gilt was?
Quellen
- Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates (Cyber Resilience Act), insbesondere Artikel 14 (Meldepflichten der Hersteller) und Artikel 16 (einheitliche Meldeplattform) — Volltext auf EUR-Lex
- Artikel 14 im Einzelnen, Absätze 1 bis 8 — EUR-Lex, Amtsblatt L 2024/2847
- ENISA — die Agentur der EU für Cybersicherheit, Empfängerin der Meldungen neben dem koordinierenden CSIRT — enisa.europa.eu
- BSI — CERT-Bund als deutsches nationales CSIRT — bsi.bund.de
Dieser Beitrag gibt den Verordnungstext wieder und bleibt dort allgemein, wo die Durchführungsrechtsakte zu Format und Verfahren der Meldung noch ausstehen. Er ersetzt keine Rechtsberatung. Stand: 8. August 2026.