CRA-Meldepflichten: Was seit dem 11. September 2026 gilt
Seit 11. September 2026 gelten die CRA-Meldepflichten: 24-Stunden-Frühwarnung, 72-Stunden-Meldung, Abschlussbericht. Fristen, Begriffe und Checkliste.
Seit dem 11. September 2026 gelten die Meldepflichten aus Artikel 14 des Cyber Resilience Act (CRA). Wer Produkte mit digitalen Elementen in der EU auf den Markt bringt, muss ab diesem Datum aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die Fristen sind kurz. Wer sie einhalten will, braucht Verantwortlichkeiten und Abläufe, bevor der erste Fall eintritt.
Die drei Fristen im Überblick
- Frühwarnung binnen 24 Stunden nach Kenntnisnahme. Sie beantwortet die Grundfragen: Was ist passiert, und betrifft es Ihre Produkte?
- Meldung binnen 72 Stunden mit ersten Details zur Schwachstelle oder zum Vorfall, Ihrer Einschätzung und den eingeleiteten Maßnahmen.
- Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur verfügbar ist. Bei schwerwiegenden Vorfällen gilt stattdessen: ein Monat nach der Meldung.
Wann die Uhr startet
Die Frist beginnt mit der Kenntnisnahme der Ausnutzung, nicht erst, wenn das Security-Team ein Ticket anlegt. Hinweise von Kunden, Forschern oder aus Monitoring-Quellen zählen ab dem Moment, in dem sie Ihr Unternehmen erreichen. Halten Sie den Eingangszeitpunkt deshalb mit Uhrzeit fest. Wer ihn später ansetzt, muss das begründen können.
Was meldepflichtig ist
- Aktiv ausgenutzte Schwachstelle: Eine Lücke in Ihrem Produkt, zu der belastbare Hinweise vorliegen, dass sie unbefugt ausgenutzt wird. Eine bloß bekannte, theoretische Schwachstelle reicht nicht aus.
- Schwerwiegender Sicherheitsvorfall: Ein Vorfall, der die Sicherheit Ihres Produkts beeinträchtigt oder beeinträchtigen kann. Ab welcher Schwelle ein Vorfall „schwerwiegend“ ist, ergibt sich aus dem Gesetzestext. Prüfen Sie Ihren Fall daran, statt aus dem Bauch zu entscheiden.
Wohin gemeldet wird
Meldungen laufen über eine zentrale Meldeplattform, die die EU-Agentur ENISA betreibt. Sie gehen an die jeweils zuständigen CSIRTs bzw. Behörden. Klären Sie frühzeitig, welche Stelle für Ihren Sitz und Ihre Märkte zuständig ist.
Checkliste für die Praxis
- Rollen festlegen: Wer bewertet? Wer meldet? Wer gibt frei? Wer informiert Kunden?
- Eingangswege erfassen: Kundenmeldungen, Forscherhinweise, Monitoring und Threat Intelligence, jeweils mit Zeitstempel.
- Vorlagen vorbereiten für Frühwarnung, 72-Stunden-Meldung und Abschlussbericht.
- Kommunikation klären: Wie und wann informieren Sie Kunden?
- Fristen absichern: In Ticketsystem oder Werkzeug hinterlegen, mit automatischen Erinnerungen.
- Üben: Eine Tabletop-Übung mit 24-Stunden-Frist zeigt schnell, wo es hakt.
Den Aufwand gering halten: Secvisory
Die Checkliste lässt sich von Hand abarbeiten, kostet im Ernstfall aber Zeit und Nerven. Secvisory übernimmt einen großen Teil dieser Arbeit:
- Fristen berechnet die Plattform. Ausgehend vom festgehaltenen Zeitpunkt der Kenntnisnahme berechnet Secvisory alle Fristen, erinnert rechtzeitig und bereitet Meldungsentwürfe vor. Änderungen am Zeitpunkt verlangen eine Begründung.
- Freigaben laufen strukturiert. Die Vier-Augen-Freigabe ist eingebaut. Die Verantwortlichen sehen jederzeit, wo ein Fall steht.
- Veröffentlichung ist automatisiert. Nach jeder Freigabe entstehen signierte Advisory-Dateien und aktualisierte Feeds, die Kunden und Aggregatoren finden.
So bleibt Ihr Team bei der Sache, statt Fristen im Kopf oder in Tabellen zu jagen.
Fazit
Die Fristen sind knapp, aber machbar, wenn die Prozesse stehen, bevor der Ernstfall kommt. Wer Rollen, Zeitstempel und Vorlagen jetzt festlegt, muss im Fall selbst nicht mehr überlegen, sondern kann handeln.
Sie möchten sehen, wie ein CRA-Fall in Secvisory von der Kenntnisnahme bis zur Meldung abläuft? In 30 Minuten zeigen wir Ihnen den Weg anhand eines Beispiels aus Ihrem Umfeld. Nehmen Sie über unsere Kontaktseite Kontakt auf, wir antworten innerhalb eines Werktags.
