Das Wichtigste in Kürze
- Aktiv ausgenutzt ist eine Schwachstelle, zu der verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigners ausgenutzt hat (Art. 3 Nr. 42).
- Funde aus Tests, Prüflaboren oder Bug-Bounty-Programmen ohne Nachweis einer Ausnutzung sind nicht meldepflichtig.
- Die Frist beginnt mit der Kenntnis, also nach einer unverzüglichen Erstbewertung mit hinreichender Sicherheit.
- Steckt die Lücke in einer Zulieferkomponente, meldet der Hersteller des Endprodukts, wenn sie dort ausnutzbar ist und ausgenutzt wird.
- Öffentliche Kataloge wie CISA KEV und die EUVD der ENISA sind wichtige Hinweise, die gegen die eigenen Stücklisten geprüft werden müssen.
Die Definition im Gesetz
Art. 3 Nr. 42 CRA definiert eine aktiv ausgenutzte Schwachstelle als eine Schwachstelle, „zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“.
Daneben kennt der CRA zwei verwandte Begriffe: Eine Schwachstelle ist eine Schwäche, Anfälligkeit oder Fehlfunktion, die bei einer Cyberbedrohung ausgenutzt werden kann (Nr. 40). Eine ausnutzbare Schwachstelle lässt sich von einem unbefugten Dritten unter praktischen Betriebsbedingungen wirksam nutzen (Nr. 41). Meldepflichtig nach Art. 14 ist erst die dritte Stufe: die tatsächliche, nachgewiesene Ausnutzung.
Was nicht meldepflichtig ist
Erwägungsgrund 68 stellt klar: Schwachstellen, die ohne böswillige Absicht bei Tests, Untersuchungen oder einer Offenlegung in gutem Glauben festgestellt werden, sollen nicht meldepflichtig sein. Die Kommission ergänzt in ihren FAQ: Eine Lücke, die über ein Bug-Bounty-Programm oder ein Prüflabor gefunden wurde, ist ohne Nachweis einer früheren Ausnutzung nicht zu melden.
Ein Zero-Day ist dagegen meldepflichtig, sobald verlässliche Nachweise einer böswilligen Ausnutzung vorliegen, auch wenn es noch keine Korrektur gibt.
Wann die Frist beginnt
Alle Fristen laufen ab dem Zeitpunkt, an dem der Hersteller Kenntnis erlangt. Der CRA definiert das nicht. Die Kommission orientiert sich an den Regeln aus NIS2 und der Datenpannenmeldung nach DSGVO: Kenntnis liegt vor, wenn der Hersteller nach einer unverzüglich durchzuführenden Erstbewertung eines verdächtigen Ereignisses mit hinreichender Sicherheit feststellt, dass eine Schwachstelle aktiv ausgenutzt wird.
Der CRA schreibt nicht vor, welche Kanäle ein Hersteller beobachten muss. Als typische Wege nennt die Kommission Hinweise von Kunden und Partnern, Berichte zur Bedrohungslage, Hinweise von Behörden, ethische Hacker, eigene Telemetrie, Honeypots und Beobachtung des Darknets.
Lücken in Zulieferkomponenten
In Maschinen und Geräten stecken meist fremde Bausteine: Betriebssysteme, Bibliotheken, Feldbus-Stacks, Webserver in Bedienpanels. Für solche Komponenten gilt nach Kommission und Leitlinie:
- Steckt die aktiv ausgenutzte Lücke in einer integrierten Komponente, meldet der Hersteller des Endprodukts. Der Hersteller der Komponente meldet ebenfalls, wenn er sie selbst in Verkehr gebracht hat.
- Ist die Lücke im eigenen Produkt nicht ausnutzbar, etwa weil der betroffene Code nicht erreichbar ist, oder wird sie dort nicht ausgenutzt, besteht für diesen Hersteller keine Meldepflicht.
- Unabhängig davon meldet der Hersteller eine gefundene Lücke an den Verantwortlichen der Komponente (Art. 13 Abs. 6).
Damit wird die Frage „Steckt diese Komponente in meinem Produkt, in welcher Version, und ist die Lücke dort erreichbar?“ zur Kernfrage. Beantworten lässt sie sich nur mit einer aktuellen Software-Stückliste je Firmwarestand.
Fristen nicht von Hand zählen
Fixradar gleicht Ihre Stücklisten täglich ab, erkennt aktiv ausgenutzte Lücken und bereitet Frühwarnung, Meldung und Abschlussbericht für die ENISA-Plattform vor.
Wie Hersteller eine Ausnutzung erkennen
Öffentliche Kataloge machen aktiv ausgenutzte Lücken sichtbar. Sie ersetzen die eigene Bewertung nicht, liefern aber den wichtigsten Hinweis:
| Quelle | Was sie liefert |
|---|---|
| CISA KEV | Katalog der US-Behörde CISA mit Schwachstellen, deren Ausnutzung belegt ist |
| ENISA EUVD | Europäische Schwachstellendatenbank der ENISA, mit Kennzeichnung ausgenutzter Lücken |
| NVD und OSV | Beschreibungen, Schweregrade und betroffene Versionen zu CVE-Kennungen und Open-Source-Paketen |
| Sicherheitshinweise der Zulieferer | Hinweise zu Komponenten, oft im CSAF-Format |
| Eigene Hinweise | Meldungen von Kunden, Servicetechnikern, Fernwartung und eigener Telemetrie |
Ein Treffer in einem Katalog bedeutet, dass die Lücke irgendwo ausgenutzt wird. Ob daraus eine Meldepflicht für das eigene Produkt folgt, hängt davon ab, ob die betroffene Komponente in der betroffenen Version enthalten und dort ausnutzbar ist. Diese Prüfung sollte schnell gehen und nachvollziehbar dokumentiert werden.
Beispiele aus dem Maschinenbau
- Webserver im Bedienpanel: Eine Lücke in der eingebauten Webserver-Bibliothek steht im KEV-Katalog. Das Panel nutzt genau diese Version mit aktivem Webzugang. Meldepflichtig, sobald die Erstbewertung das bestätigt.
- Bibliothek ohne erreichbaren Code: Eine ausgenutzte Lücke betrifft eine Funktion, die in der Firmware nicht eingebunden ist. Keine Meldepflicht für dieses Produkt; die Begründung gehört in die Dokumentation, etwa als VEX-Aussage.
- Fund im Penetrationstest: Ein beauftragtes Labor findet eine neue Lücke. Ohne Nachweis einer Ausnutzung keine Meldepflicht; die Lücke wird behoben und an betroffene Zulieferer gemeldet.
- Hinweis eines Kunden: Ein Betreiber meldet ungewöhnliche Zugriffe über den Fernwartungszugang, die Analyse zeigt die Ausnutzung einer bekannten Lücke. Meldepflichtig; die 24 Stunden laufen ab dem Ergebnis der Erstbewertung.
Häufige Fragen
Ist jede Lücke mit hoher CVSS-Bewertung meldepflichtig?
Nein. Der Schweregrad entscheidet nicht. Meldepflichtig ist eine Schwachstelle, wenn verlässliche Nachweise einer böswilligen Ausnutzung vorliegen.
Muss ich melden, wenn eine Lücke in einer Komponente auf der KEV-Liste steht?
Wenn die Komponente in der betroffenen Version im Produkt steckt, die Lücke dort ausnutzbar ist und ausgenutzt wird, ja. Ist sie im eigenen Produkt nicht ausnutzbar, nicht. Das Ergebnis der Prüfung sollte dokumentiert werden.
Ab wann laufen die 24 Stunden?
Ab der Kenntnis, also wenn eine unverzüglich durchgeführte Erstbewertung mit hinreichender Sicherheit eine aktive Ausnutzung ergibt.
Muss ich Lücken aus meinem Bug-Bounty-Programm melden?
Ohne Nachweis einer früheren böswilligen Ausnutzung nicht. Eine freiwillige Meldung nach Art. 15 ist möglich.
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex
- Europäische Kommission: FAQs on the Cyber Resilience Act, Version 1.4 (04.09.2026)
- Europäische Kommission: Leitlinie zur Anwendung der Verordnung (EU) 2024/2847, C(2026) 5252 (27.07.2026)
- ENISA: CRA Single Reporting Platform, Frequently Asked Questions (15.10.2026)
Stand: November 2026. Die Angaben geben die allgemeine Rechtslage wieder und ersetzen keine Rechtsberatung im Einzelfall.