Artikel 14 CRA: Die Meldepflicht gilt seit dem 11. September 2026

Fast alle, die sich auf die Cyberresilienz-Verordnung (CRA) vorbereiten, haben ein Datum im Kalender: den 11. Dezember 2027, ab dem die grundlegenden Cybersicherheitsanforderungen, die Konformitätsbewertung und die CE-Kennzeichnung gelten.

Es gibt ein früheres, und genau über dieses stolpern viele.

Seit dem 11. September 2026 verlangt Art. 14 von Herstellern, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden. Das ist fünfzehn Monate vor dem Rest der Verordnung, und die Pflicht trifft Produkte, die erst mehr als ein Jahr später eine CE-Kennzeichnung brauchen.

Was gemeldet werden muss

Zwei Dinge, und sie sind nicht dasselbe:

Eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt. Nicht jede Schwachstelle — eine, die ausgenutzt wird. Auslöser ist die Ausnutzung, nicht der Schweregrad.

Ein schwerwiegender Sicherheitsvorfall, der sich auf die Sicherheit Ihres Produkts auswirkt.

An wen die Meldung geht, und wie

An Ihr als Koordinator benanntes CSIRT und an die ENISA gleichzeitig, über eine einheitliche Meldeplattform. Nicht erst an die eine Stelle, dann an die andere; nicht an die, die Sie zuerst erreichen.

Die drei Fristen

Frühwarnung und Meldung laufen ab dem Zeitpunkt, an dem Sie Kenntnis erlangen — nicht ab der Bestätigung, nicht ab der Behebung. Der Abschlussbericht richtet sich nach etwas anderem: bei einer Schwachstelle nach der verfügbaren Korrekturmaßnahme, bei einem schwerwiegenden Sicherheitsvorfall nach der Meldung.

Schritt	Frist	Worum es geht
Frühwarnung	24 Stunden	Sie haben Kenntnis; sagen Sie es. Keine vollständige Analyse.
Meldung	72 Stunden	Eine ausführlichere Darstellung dessen, was es ist und was Sie wissen.
Abschlussbericht	14 Tage, nachdem eine Korrekturmaßnahme verfügbar ist	Bei einer Schwachstelle.
Abschlussbericht	ein Monat nach der Meldung	Bei einem schwerwiegenden Sicherheitsvorfall.

Vierundzwanzig Stunden — diese Zahl sollten Sie sich vor Augen halten. Das reicht nicht, um zu untersuchen, zu entscheiden, zu formulieren, die rechtliche Freigabe einzuholen und die Meldung auf den Weg zu bringen — es sei denn, all das wurde vorher geregelt.

Die Pflicht hinter der Pflicht

Die erste Frist beginnt, wenn Sie Kenntnis erlangen. Das wirft eine Frage auf, die die Verordnung nicht stellen muss, weil sie die Antwort voraussetzt:

Woher würden Sie es wissen?

Wenn Sie keine Möglichkeit haben zu erfahren, dass eine Schwachstelle in Ihrem Produkt im Feld ausgenutzt wird, werden Sie sie nicht innerhalb von 24 Stunden melden. Sie werden sie dann melden, wenn es Ihnen zufällig jemand sagt — ein Kunde, ein Sicherheitsforscher oder ein Journalist.

Art. 14 verlangt also stillschweigend etwas, das ihm vorausgeht: eine Möglichkeit, es zu erfahren. Telemetrie, einen überwachten Kanal für die Meldung von Schwachstellen, eine Beziehung zu den Sicherheitsforschern, die sich Ihr Produkt ansehen, und jemanden, dessen Aufgabe es ist, so etwas zu bemerken.

Vier Lücken, an denen eine Meldung binnen 24 Stunden scheitert

Diese sehen wir am häufigsten, und keine davon ist exotisch:

Kein verlässlicher Weg zu erfahren, dass eine Schwachstelle ausgenutzt wird. (Art. 14 Abs. 1) Die Frist kann nicht beginnen, wenn nichts sie auslöst.

Kein gangbarer Weg zu einer Meldung binnen 24 Stunden. (Art. 14 Abs. 2, 4 und 7) Wissen ist nicht melden. Jemand muss die Meldung abgeben können, auch außerhalb der Arbeitszeit, ohne Gremium.

Keine benannte Person für die Meldung von Sicherheitsvorfällen. Eine Pflicht, die allen gehört, gehört um 2 Uhr nachts an einem Sonntag niemandem.

Keine Strategie für die koordinierte Offenlegung von Schwachstellen. (Anhang I Teil II Nr. 5 und 6) Sie ist für sich genommen eine grundlegende Anforderung, aber auch der Weg, auf dem die meisten Hersteller überhaupt von Problemen erfahren. Gibt es keinen veröffentlichten Weg, Sie zu erreichen, ist der nächste Schritt eines Sicherheitsforschers ein Blogbeitrag.

Zwei weitere, die zur selben Zeit greifen

Anhang I Teil II enthält Pflichten, die sich als Voraussetzung dafür erweisen, eine Meldung gut zu bewältigen:

Eine gepflegte Software-Stückliste (Anhang I Teil II Nr. 1) — die mindestens die obersten Abhängigkeiten abdeckt. Wenn eine Schwachstelle in einer Bibliothek auftaucht, entscheidet die SBOM darüber, ob Sie die Frage „Sind wir betroffen?“ in einer Stunde beantworten oder in zwei Wochen.

Sicherheitsaktualisierungen, die den erwarteten Unterstützungszeitraum abdecken (Art. 13 Abs. 8, 9 und 19 und Anhang I Teil II Nr. 2) — denn ein Abschlussbericht ist innerhalb von 14 Tagen fällig, nachdem eine Korrekturmaßnahme verfügbar ist, und für ein Produkt, das Sie nicht mehr patchen können, gibt es dieses Datum nicht.

Was Sie jetzt tun sollten

Die Meldepflicht ist unter den Compliance-Pflichten ungewöhnlich: Sie lässt sich nicht erfüllen, indem man ein Dokument schreibt. Sie ist operativ, und sie funktioniert um 2 Uhr nachts oder eben nicht.

1. Legen Sie fest, wer verantwortlich ist. Eine benannte Person und eine benannte Vertretung. Kein Team.
2. Finden Sie heraus, wie Sie davon erfahren würden. Verfolgen Sie ehrlich den Weg, auf dem die Nachricht von einer ausgenutzten Schwachstelle diese Person heute tatsächlich erreichen würde.
3. Veröffentlichen Sie eine Strategie für die Offenlegung von Schwachstellen und überwachen Sie die Adresse, die sie nennt. Das ist ohnehin eine Anforderung aus Anhang I.
4. Klären Sie den Meldeweg, bevor Sie ihn brauchen — welches CSIRT Ihr Koordinator ist, was die Plattform erwartet, wer Zugangsdaten hat.
5. Proben Sie die 24 Stunden. Einmal. An einem Freitagnachmittag, mit der Person, die es tatsächlich tun würde.

Der fünfte Punkt trennt die Hersteller, die die Frist einhalten werden, von denen, die sie nur aufgeschrieben haben.

Warum es die Lücke gibt

Die Staffelung ist gewollt. Die grundlegenden Anforderungen in Anhang I verlangen Produktentwicklung, und dafür hat die EU drei Jahre gegeben. Die Meldepflicht verlangt einen Prozess und eine Person, und der Gesetzgeber war der Ansicht, dass dafür einundzwanzig Monate genügen.

Ob das großzügig ist oder nicht: Das Erste, was der CRA von Ihnen verlangt, ist kein Redesign. Es ist eine Telefonnummer, die funktioniert.