CRA-Meldepflichten ab 11. September 2026: Was Hersteller jetzt vorbereiten sollten

Fachlich geprüft von Robin Roeder, Geschäftsführer der SCREENUS GmbH · zuletzt geprüft am 19.08.2026.

Am 11. September 2026 beginnt eine der ersten operativ spürbaren Phasen des Cyber Resilience Act: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb enger Fristen melden. Wer erst beim ersten Vorfall über Zuständigkeiten und Informationswege nachdenkt, verliert wertvolle Stunden.

Was sich im September konkret ändert

Der Cyber Resilience Act, die EU-Verordnung 2024/2847, gilt vollständig erst ab dem 11. Dezember 2027. Die Meldepflichten aus Artikel 14 greifen jedoch früher: ab dem 11. September 2026. Betroffen sind insbesondere Hersteller von „Produkten mit digitalen Elementen“. Darunter können Hardware, Software und separat auf dem EU-Markt bereitgestellte digitale Komponenten fallen.

Die Pflicht betrifft zwei unterschiedliche Ereignisarten: aktiv ausgenutzte Schwachstellen sowie schwerwiegende Vorfälle, die die Sicherheit eines digitalen Produkts beeinträchtigen. Für die Praxis ist diese Unterscheidung entscheidend. Nicht jede bekannte Schwachstelle ist automatisch meldepflichtig. Gleichzeitig kann eine nachweislich aktive Ausnutzung sehr schnell eine Frist auslösen.

Die Meldekette: früh warnen, bewerten, abschließen

Die EU-Kommission und ENISA beschreiben eine gestufte Meldung. Innerhalb von 24 Stunden ist eine frühe Warnung vorgesehen. Innerhalb von 72 Stunden folgt eine Meldung mit allgemeinen Informationen und einer ersten Bewertung. Danach ist ein Abschlussbericht erforderlich: bei aktiv ausgenutzten Schwachstellen spätestens 14 Tage, nachdem eine Korrektur- oder Minderungsmaßnahme verfügbar ist; bei schwerwiegenden Sicherheitsvorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.

Gemeldet wird über die von ENISA betriebene Single Reporting Platform. Sie soll zum 11. September 2026 betriebsbereit sein. Die Plattform dient als zentraler Eingang und leitet Meldungen an das zuständige koordinierende CSIRT und – vorbehaltlich enger Ausnahmen – an ENISA weiter.

Sechs Vorbereitungen, die jetzt sinnvoll sind

1. Produkte und Verantwortliche erfassen. Dokumentieren Sie, welche Hard- und Softwareprodukte Sie herstellen oder unter eigenem Namen bereitstellen, wer Produktverantwortung trägt und welche Komponenten Dritter enthalten sind.
2. Signale an einer Stelle zusammenführen. Schwachstellenmeldungen, Security-Monitoring, Support-Tickets und Hinweise von Kunden oder Forschenden dürfen nicht in getrennten Postfächern versanden.
3. Bewertungskriterien festlegen. Ein kurzes Entscheidungsschema sollte trennen zwischen einer allgemeinen Schwachstelle, einer zuverlässig belegten aktiven Ausnutzung und einem Vorfall mit schwerwiegenden Auswirkungen.
4. 24-Stunden-Fähigkeit organisieren. Benennen Sie Erstkontakt, Stellvertretung und Eskalationsweg. Legen Sie fest, wer technische Fakten bestätigt, wer die Meldung freigibt und wer außerhalb üblicher Arbeitszeiten erreichbar ist.
5. Beweise und Zeitpunkte sichern. Halten Sie fest, wann welches Signal einging, welche Systeme betroffen waren, welche Indikatoren vorlagen und welche Maßnahmen ergriffen wurden. Ohne belastbare Zeitlinie wird sowohl die Meldung als auch die spätere Aufarbeitung unnötig schwierig.
6. Den Ablauf einmal testen. Eine kurze Tabletop-Übung mit einem fiktiven Vorfall zeigt meist schnell, ob Ansprechpartner, Datenzugriff und Freigaben tatsächlich funktionieren.

Was häufig übersehen wird

Eine technische Meldung ersetzt keine Gesamtprüfung

Ein einzelner Vorfall kann neben dem CRA weitere Pflichten berühren – beispielsweise vertragliche Informationspflichten, Datenschutzrecht oder sektorspezifische Vorgaben. Unternehmen sollten daher nicht davon ausgehen, dass eine Meldung über die Single Reporting Platform automatisch alle anderen Meldewege erledigt.

Zulieferkomponenten brauchen klare Informationswege

Viele digitale Produkte bestehen aus Bibliotheken, Firmware und Diensten verschiedener Anbieter. Entscheidend ist, ob Warnungen aus dieser Lieferkette schnell beim eigenen Produktteam ankommen und ob sich die Auswirkungen auf die eigenen Produkte nachvollziehen lassen.

Dokumentation ist Teil der Reaktionsfähigkeit

Inventar, Versionen, Abhängigkeiten, Protokolle und Zuständigkeiten wirken im Alltag oft administrativ. Im Sicherheitsvorfall bestimmen sie jedoch, wie schnell ein Unternehmen den Umfang beurteilen, Kunden schützen und eine sachlich korrekte Meldung erstellen kann.

Wie SCREENUS unterstützen kann

Wir unterstützen Unternehmen beim Aufbau der technischen und organisatorischen Grundlagen: strukturierte Systemübersichten, belastbare Protokollierung, Schwachstellen- und Patchprozesse, Alarmierung, Notfallabläufe sowie die technische Analyse eines Vorfalls. Die rechtliche Bewertung des konkreten Einzelfalls sollte bei Bedarf zusätzlich durch entsprechend qualifizierte Rechtsberatung erfolgen.

Vorbereitung besprechen

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Prüfen Sie die Anwendbarkeit und Pflichten für Ihr konkretes Produkt und Unternehmen individuell.