Dieser Artikel ist ein praxisorientierter technischer Überblick und keine Rechtsberatung. Lassen Sie die Einzelheiten Ihrer Pflichten rechtlich prüfen.
Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach Artikel 14 des Cyber Resilience Act melden. Das gilt auch für Produkte, die sich bereits auf dem Markt befinden. Die Frist beginnt, sobald Sie davon Kenntnis erlangen – und 24 Stunden sind kurz, wenn niemand weiß, wer was tut.
Was gemeldet werden muss – und wann
| Frist | Aktiv ausgenutzte Schwachstelle | Schwerwiegender Sicherheitsvorfall |
|---|---|---|
| 24 Stunden | Frühwarnung | Frühwarnung |
| 72 Stunden | Schwachstellenmeldung: Produkt, Art der Ausnutzung, ergriffene oder für Nutzer verfügbare Maßnahmen | Vorfallsmeldung: Art des Vorfalls, erste Bewertung, Maßnahmen |
| Abschlussbericht | Spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist | Innerhalb eines Monats nach der Vorfallsmeldung |
Meldungen laufen über die einheitliche Meldeplattform der ENISA an das CSIRT, das in Ihrem Mitgliedstaat als Koordinator benannt ist. Außerdem müssen Sie betroffene Nutzer über die Schwachstelle oder den Vorfall und die Abhilfemaßnahmen informieren, die sie ergreifen können.
Das Playbook in acht Schritten
- Benennen Sie einen Verantwortlichen und einen Stellvertreter. Eine Person entscheidet, ob etwas meldepflichtig ist. Auch im Urlaub und am Wochenende.
- Richten Sie einen Meldekanal ein. Ein Security-Kontakt auf Ihrer Website, eine Datei
security.txtund eine veröffentlichte Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD-Richtlinie). Sicherheitsforscher und Kunden müssen wissen, wo sie melden können. - Kennen Sie die Bestandteile Ihres Produkts. Eine gepflegte SBOM für jedes Produkt und jede Firmware-Version – einschließlich Drittanbietermodulen wie Funk-Stacks.
- Richten Sie ein Monitoring ein. Verfolgen Sie Schwachstellenquellen für die Komponenten in Ihrer SBOM und erfassen Sie eingehende Meldungen mit Zeitstempel.
- Bewerten Sie nach klaren Kriterien. Wird die Schwachstelle aktiv ausgenutzt? Welche Produkte, Versionen und Märkte sind betroffen? Dokumentieren Sie jede Entscheidung, auch „nicht meldepflichtig“.
- Nutzen Sie Vorlagen. Bereiten Sie die Inhalte der Frühwarnung, der 72-Stunden-Meldung und des Abschlussberichts im Voraus vor, damit niemand sie unter Druck von Grund auf schreiben muss.
- Beheben und informieren Sie. Ein sicherer, authentifizierter Update-Pfad ist Voraussetzung. Ohne ihn können Sie als Abhilfe nur einen Workaround anbieten.
- Üben Sie den Ernstfall. Führen Sie einmal im Jahr eine Tabletop-Übung durch: Eine fiktive Meldung geht an einem Freitagnachmittag ein. Hält der Prozess stand?
Der Engpass liegt in der Technik
Der formale Teil lässt sich in Wochen aufsetzen. Was in der Regel Monate dauert, liegt im Produkt: eine fehlende SBOM für alte Firmware-Versionen, keine Möglichkeit, ein Funkmodul im Feld zu aktualisieren, oder Update-Pakete, die nicht signiert sind. Diese Punkte sollten Sie zuerst planen.
CRA Readiness Check
Gap-Analyse, Aufbau der Prozesse für Art. 14 und CVD, Produktklassifizierung und ein priorisierter Maßnahmenplan.
CRA-Serie: Teil 1 – Was Hersteller tun müssen und bis wann · Teil 2 – Meldungen nach Artikel 14 · Teil 3 – EN-18031-Checkliste