CRA-Meldepflicht ab 11. September 2026

Ab dem 11. September 2026 gilt Art. 14 der Cyberresilienz-Verordnung (Verordnung (EU) 2024/2847, CRA). Hersteller von Produkten mit digitalen Elementen müssen dann aktiv ausgenutzte Schwachstellen melden. Auch schwerwiegende Sicherheitsvorfälle fallen darunter. Die Meldung läuft über die zentrale ENISA-Meldeplattform, an das zuständige CSIRT (Computer Emergency Response Team) und an die ENISA. 
Der Prozess hat drei Stufen: eine Frühwarnung innerhalb von 24 Stunden, eine vertiefte Meldung innerhalb von 72 Stunden und einen Abschlussbericht. Bei Schwachstellen folgt der Abschlussbericht 14 Tage nach dem Fix oder Workaround. Bei Sicherheitsvorfällen folgt er einen Monat nach der Erstmeldung. Bei Verstößen drohen Bußgelder bis 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Eine Ausnahme gilt für Kleinst- und Kleinunternehmen: Seit der Berichtigung vom 2. Juli 2025 entfällt für sie das Bußgeld, wenn allein die 24-Stunden-Frist versäumt wird. Die Meldepflicht selbst bleibt davon unberührt.

Bis zum 10. September 2026 wäre eine ausgenutzte Schwachstelle in Ihrem Produkt vor allem ein internes Problem: Priorisieren, patchen, kommunizieren, in der eigenen Geschwindigkeit. Ab dem 11. September 2026 ist es zusätzlich ein regulatorisches Problem, und die Uhr läuft in Stunden statt in Sprints. Art. 14 CRA verpflichtet Hersteller von Produkten mit digitalen Elementen dann zu einer Meldung binnen 24 Stunden, unabhängig davon, ob das betroffene Produkt neu im Markt ist oder seit Jahren im Feld läuft.

Das Datum überrascht viele Unternehmen, weil es zeitlich weit vor den eigentlichen CRA-Hauptpflichten liegt. Genau das macht es tückisch: Wer erst an CE-Kennzeichnung und SBOM denkt und die Meldepflicht gedanklich als „kommt später mit“ einordnet, baut die notwendige Reaktionsstruktur zu spät auf.

Der CRA tritt gestaffelt in Kraft. Diese Staffelung ist der häufigste Grund für Verwechslungen:

• Art. 14 CRA (Meldepflicht für Schwachstellen und Vorfälle): ab 11. September 2026. Das ist das Thema dieses Artikels.
• Vollständige Herstellerpflichten nach Art. 13 CRA (Security-by-Design, technische Dokumentation, SBOM, CE-Kennzeichnung): erst ab 11. Dezember 2027.

Beide Pflichten gelten auch für Bestandsprodukte. Das regelt Art. 69 Abs. 3 CRA. Für die Meldepflicht gibt es also keinen Bestandsschutz. Den vollständigen Verordnungstext finden Sie auf EUR-Lex.

Wichtig ist außerdem der sachliche Anwendungsbereich. Reine SaaS-Angebote fallen nach Erwägungsgrund 12 CRA grundsätzlich nicht unter den CRA. Sie fallen dann unter NIS-2. Anders ist es bei Cloud-Komponenten, die für die Kernfunktion eines Produkts notwendig sind. Solche Remote-Datenverarbeitungslösungen (Art. 3 Abs. 1 CRA) zählen zum Produkt. Damit fallen sie auch in den CRA-Anwendungsbereich.

Eine ausführliche Einordnung dazu finden Sie in unserem Artikel „Cyber Resilience Act und SaaS: Wann ist Ihre Cloud-Software wirklich betroffen?". Den gesamten Zeitplan bis 2027 haben wir außerdem in unserer CRA-Umsetzungs-Roadmap zusammengefasst.

Wer ist konkret betroffen?

Meldepflichtig sind Hersteller von Produkten mit digitalen Elementen. Diese Produkte müssen auf dem Unionsmarkt bereitgestellt werden. Gemeint sind Hardware- und Softwareprodukte mit einer direkten oder indirekten Datenverbindung zu einem Gerät oder Netzwerk (Art. 2 Abs. 1, Art. 3 Abs. 1 CRA).

Besonders relevant ist das für:

• IT-Development- und Outsourcing-Dienstleister, die vernetzte Software oder Komponenten für Dritte entwickeln
• Anbieter von Cybersecurity- und Identity-Produkten mit eigener Softwarekomponente
• HealthTech-Unternehmen mit vernetzten Medizinprodukten
• Data-Center- und Cloud-Anbieter, soweit eigene Produktkomponenten oder notwendige Remote-Datenverarbeitungslösungen betroffen sind

Auslöser der Meldepflicht sind zwei klar definierte Ereignisse. Das erste ist eine aktiv ausgenutzte Schwachstelle. Dafür müssen belastbare Hinweise auf eine tatsächliche, unbefugte Ausnutzung vorliegen. Das zweite ist ein schwerwiegender Sicherheitsvorfall mit Auswirkung auf die Sicherheit des Produkts. Ein gewöhnlicher Bugfix fällt nicht darunter. Ein routinemäßiges Patch-Update ebenfalls nicht.

Auch eine Zero-Day-Schwachstelle ist nicht automatisch meldepflichtig. Entscheidend ist allein die aktive Ausnutzung. Wird eine Zero-Day-Lücke zum Beispiel über ein Bug-Bounty-Programm oder durch einen beauftragten Pentest-Dienstleister entdeckt, und liegen keine Hinweise auf eine vorherige böswillige Ausnutzung vor, besteht keine Meldepflicht nach Art. 14 CRA. Eine freiwillige Meldung ist in solchen Fällen nach Art. 15 CRA weiterhin möglich.

Der 24/72/14-Prozess im Detail

Die Frist beginnt nicht beim ersten vagen Verdacht, sondern einer Kenntniserlangung. Das ist der Moment, in dem der Hersteller nach einer ersten Prüfung mit hinreichender Sicherheit von einer aktiv ausgenutzten Schwachstelle oder einem schweren Vorfall ausgehen muss. Ab diesem Zeitpunkt gilt:

1. Frühwarnung, innerhalb von 24 Stunden. Meldung an das zuständige CSIRT und die ENISA über die zentrale Meldeplattform. Zu diesem Zeitpunkt reichen die verfügbaren Informationen.

2. Meldung, innerhalb von 72 Stunden. Diese Meldung enthält vertiefende Angaben zur Schwachstelle beziehungsweise zum Vorfall, sofern verfügbar.

3. Abschlussbericht. Bei Schwachstellen erfolgt er spätestens 14 Tage nach Bereitstellung eines Sicherheitsupdates oder Workarounds. Bei Sicherheitsvorfällen erfolgt er spätestens einen Monat nach der Erstmeldung. In der Praxis wird das oft vereinfacht als „14 Tage" zusammengefasst. Im Detail ist die Frist aber an das jeweilige Ereignis gekoppelt.

Parallel zur Meldung an CSIRT und ENISA gilt eine weitere Pflicht. Art. 14 in Verbindung mit Art. 16 CRA verpflichtet dazu, betroffene Nutzer zu informieren. Sie erhalten Angaben zu Sicherheitsrisiken und verfügbaren Abhilfemaßnahmen.

Eine Praxisfrage wird von vielen Herstellern unterschätzt: Was gilt bei Schwachstellen in zugekauften Komponenten? Steckt die Schwachstelle in einer Drittkomponente, bleibt die eigene Meldepflicht als Hersteller des Gesamtprodukts in aller Regel bestehen. Das gilt unabhängig davon, wer die Schwachstelle ursprünglich verursacht hat. Die genaue Verantwortungsverteilung zwischen Zulieferer und Hersteller ist an einzelnen Stellen noch nicht abschließend durch Leitlinien geklärt. Im Zweifel lohnt sich hier eine Einzelfallprüfung.

Was das operativ bedeutet

Die 24-Stunden-Frist ist technisch unspektakulär. Organisatorisch ist sie anspruchsvoll. Drei Punkte sollten vor dem 11. September 2026 geklärt sein:

• Wer registriert Ihr Unternehmen auf der Meldeplattform? Wer ist intern für die Fristüberwachung verantwortlich?
• Löst eine Kenntniserlangung automatisch die 24-Stunden-Uhr aus? Oder wandert die Information erst über mehrere Abteilungen, bevor reagiert wird?
• Wie und wann informieren Sie betroffene Nutzer? Die Information darf der behördlichen Meldung nicht zeitlich vorgreifen. Sie darf aber auch nicht hinter ihr zurückbleiben.

Ist Ihr Unternehmen bereits nach BSI C5 oder SOC 2 testiert, müssen Sie diese Struktur meist nicht neu erfinden. Beide Rahmenwerke verlangen bereits dokumentierte Prozesse für Security-Incident-Management und Eskalation. Die Aufgabe besteht dann vor allem darin, diese Prozesse um die konkreten CRA-Fristen zu erweitern. Der Meldeweg über ENISA und CSIRT kommt als zusätzlicher Schritt hinzu. Ein Neuaufbau bei null ist damit meist nicht nötig.

Für Cloud- und Data-Center-Betreiber lohnt sich in diesem Zusammenhang auch ein Blick auf unsere Bewertung der Cloud-Sicherheit. Sie setzt genau an dieser Schnittstelle an.

Haftung und Budget: die Perspektive für CEO und CFO

Der Bußgeldrahmen liegt bei bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Das betrifft die Meldepflicht ebenso wie andere CRA-Verstöße.

Eine praktisch wichtige Erleichterung gilt für Kleinst- und Kleinunternehmen. Nach der Berichtigung des CRA für diese Unternehmen werden sie nicht mit Bußgeldern belegt, wenn sie ausschließlich die 24-Stunden-Frist für die Frühwarnung versäumen. Das ist kein Freibrief. Die Meldepflicht selbst bleibt bestehen. Auch die 72-Stunden-Frist und die Abschlussfrist sind von der Ausnahme nicht erfasst.

Business-seitig ist der reine Bußgeldvergleich ohnehin nicht der einzige Hebel. Kunden, die selbst unter NIS2 oder DORA berichtspflichtig sind, fragen zunehmend aktiv nach. Sie wollen wissen, wie Zulieferer mit Schwachstellen umgehen. Sie fragen, ob eine belastbare Meldefähigkeit besteht. Wer das nicht nachweisen kann, riskiert weniger ein Bußgeld als den nächsten Vertrag.