CRA-Meldepflicht: Was passiert bei einer Schwachstelle oder einem Sicherheitsvorfall?

Ab 11. September 2026 gelten die Meldepflichten nach Artikel 14. Für Hersteller bedeutet das: Bei bestimmten Cybersecurity-Ereignissen beginnt eine sehr kurze Frist.

Rechtsstand: 08.09.2026Regelwerk: Verordnung (EU) 2024/2847Geltungsbereich: EU

Kurzantwort

Hersteller müssen eine ihnen bekannte aktiv ausgenutzte Schwachstelle oder einen schweren Sicherheitsvorfall unter den Voraussetzungen des Artikels 14 melden. Die erste Meldestufe ist grundsätzlich spätestens innerhalb von 24 Stunden vorgesehen.

Das Wichtigste

In zwei Minuten verstanden

Artikel 14 gilt ab 11. September 2026.

Erfasst werden insbesondere aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle.

Die erste Warnmeldung ist grundsätzlich innerhalb von 24 Stunden vorgesehen.

Weitere Informationen folgen grundsätzlich innerhalb von 72 Stunden.

Unternehmen brauchen deshalb vor einem Vorfall einen internen Eskalations- und Dokumentationsprozess.

Ab wann gilt die Meldepflicht?

Die Meldepflichten des Artikels 14 gelten ab dem 11. September 2026.

Stand 08.09.2026 liegt dieser Termin unmittelbar bevor. Hersteller betroffener Produkte sollten ihren internen Ablauf deshalb nicht erst im Dezember 2027 vorbereiten.

Aktiv ausgenutzte Schwachstelle

Nicht jede theoretisch denkbare Schwachstelle löst automatisch dieselbe CRA-Meldung aus.

Artikel 14 adressiert insbesondere Schwachstellen, die aktiv ausgenutzt werden und von denen der Hersteller Kenntnis erlangt.

Die 24-Stunden-Frist

Für eine aktiv ausgenutzte Schwachstelle ist grundsätzlich eine Frühwarnung ohne unangemessene Verzögerung und spätestens innerhalb von 24 Stunden nach Kenntniserlangung vorgesehen.

Vergleichbare 24-Stunden-Anforderungen bestehen für schwere Sicherheitsvorfälle im Sinne des Artikels 14.

Was passiert innerhalb von 72 Stunden?

Sofern die Informationen nicht bereits vorliegen, folgt grundsätzlich innerhalb von 72 Stunden eine ausführlichere Meldung.

Bei Schwachstellen umfasst sie beispielsweise verfügbare Informationen über Produkt, Art der Ausnutzung, Schwachstelle und bereits getroffene beziehungsweise mögliche Abhilfemaßnahmen.

Danach kann ein Abschlussbericht folgen

Bei aktiv ausgenutzten Schwachstellen sieht Artikel 14 grundsätzlich einen Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme vor.

Bei schweren Sicherheitsvorfällen ist grundsätzlich ein Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Meldung vorgesehen.

Was muss intern vorbereitet sein?

Wer nimmt Schwachstellenmeldungen entgegen?
Wer bewertet, ob Artikel 14 betroffen sein könnte?
Wer darf eine CRA-Meldung auslösen?
Wo wird der Zeitpunkt der Kenntniserlangung festgehalten?
Welche Produktversionen sind betroffen?
Welche Kunden oder Märkte können betroffen sein?
Welche Sofortmaßnahmen wurden getroffen?
Wer dokumentiert die weitere Bearbeitung?

Eine 24-Stunden-Frist lässt wenig Zeit, erst im Ereignisfall zu entscheiden, wer eigentlich zuständig ist.

Quellen

Rechtsgrundlagen und offizielle Informationen

SicherDok verwendet für regulatorische Aussagen vorrangig offizielle EU-Quellen.

CRA – Artikel 14 Meldepflichten der Hersteller ↗EUR-Lex CRA Zusammenfassung – Anwendungsdaten ↗

Dieser Ratgeber dient der allgemeinen Orientierung. Er ersetzt keine Rechtsberatung oder verbindliche Einzelfallprüfung. Ob und in welcher Rolle der Cyber Resilience Act auf ein konkretes Produkt oder Unternehmen anwendbar ist, kann von den tatsächlichen Umständen abhängen.

SicherDok CRA

Aus einer EU-Verordnung soll eine konkrete Arbeitsliste werden.

SicherDok entwickelt derzeit eine CRA-Dokumentationshilfe für kleine Hersteller, Importeure und Händler.

CRA Themenbereich öffnen