Cyber Resilience Act · seit 11.09.2026

CRA-Meldeplattform ist live: Was Hersteller jetzt vorbereitet haben sollten

Seit 11. September 2026 gelten die CRA-Berichtspflichten für bestimmte aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Meldungen laufen über die Single Reporting Platform der ENISA.

Kurzantwort: Betroffene Hersteller sollten nicht erst für Dezember 2027 planen. Die Meldepflichten sind bereits in Kraft. Für relevante Ereignisse sieht der CRA grundsätzlich eine Frühwarnung innerhalb von 24 Stunden und eine vollständige Meldung innerhalb von 72 Stunden vor.

Was seit 11. September gilt

Die Europäische Kommission bestätigt, dass Hersteller seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden müssen, wenn die Voraussetzungen des CRA erfüllt sind.

Die erste Stufe ist eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung. Grundsätzlich folgt innerhalb von 72 Stunden eine vollständigere Meldung. Je nach Ereignis sieht der CRA anschließend weitere Abschlussinformationen vor.

Wo wird gemeldet?

Die ENISA betreibt dafür die zentrale Single Reporting Platform (SRP). Die Kommission verweist ausdrücklich auf diese Plattform und auf die dort bereitgestellten FAQs, Benutzerleitfäden, das Glossar und Schulungsmaterial.

Für Unternehmen ist deshalb nicht nur die technische Registrierung wichtig. Entscheidend ist, dass intern klar ist, wer ein Ereignis erkennt, wer es bewertet, wann der Zeitpunkt der Kenntniserlangung dokumentiert wird und wer die Meldung vorbereitet.

Ein sinnvoller interner Ablauf

Eingangskanal für Schwachstellen und Sicherheitsvorfälle festlegen.
Zuständigkeit für die erste CRA-Einordnung festlegen.
Zeitpunkt der Kenntniserlangung nachvollziehbar dokumentieren.
Betroffene Produkte, Versionen und verfügbare technische Informationen erfassen.
24- und 72-Stunden-Fristen sichtbar machen und Verantwortlichkeiten zuordnen.
Meldung und Folgemaßnahmen als zusammenhängenden Vorgang dokumentieren.

Nicht jede Schwachstelle oder Störung ist automatisch meldepflichtig. Die konkrete Einordnung hängt von den gesetzlichen Kriterien und den tatsächlichen Umständen ab.

Offizielle Quellen

Europäische Kommission – Safer and more secure digital products ↗Europäische Kommission – CRA reporting obligations ↗Europäische Kommission – CRA summary ↗

Rechtsstand: 22.09.2026. Dieser Ratgeber dient der allgemeinen Orientierung und ersetzt keine Rechtsberatung oder verbindliche Einzelfallprüfung.

Pflichten, Aufgaben und Nachweise an einem Ort

SicherDok entwickelt eine SaaS-Plattform, die betriebliche Pflichten strukturiert, Aufgaben organisiert und Nachweise nachvollziehbar zusammenführt.

SicherDok SaaS kennenlernen