CRA-Meldepflicht: Fristen, Inhalte und Meldeweg für Hersteller

Das Wichtigste in Kürze

Die Meldepflicht nach Art. 14 CRA gilt seit dem 11.09.2026, alle übrigen Pflichten ab dem 11.12.2027.
Zu melden sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkung auf das Produkt.
Fristen ab Kenntnis: Frühwarnung in 24 Stunden, Meldung in 72 Stunden. Der Abschlussbericht folgt 14 Tage nach einer Korrektur (Schwachstelle) oder einen Monat nach der Meldung (Vorfall).
Gemeldet wird über die Meldeplattform der ENISA an das CSIRT im Land der Hauptniederlassung, für Deutschland an das BSI.
Die Pflicht gilt auch für Produkte, die vor 2027 in Verkehr gebracht wurden. Verstöße gegen Art. 14 können mit bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden.

Seit wann die Meldepflicht gilt

Die Verordnung (EU) 2024/2847 ist am 10. Dezember 2024 in Kraft getreten. Sie gilt gestaffelt: Kapitel IV zu den Konformitätsbewertungsstellen seit dem 11. Juni 2026, Artikel 14 mit den Meldepflichten seit dem 11. September 2026 und alle übrigen Anforderungen ab dem 11. Dezember 2027 (Art. 71 Abs. 2).

Die Meldepflicht ist damit die erste Pflicht aus dem CRA, die Hersteller im Alltag spüren. Sie verlangt keine Konformitätsbewertung und keine CE-Kennzeichnung nach CRA, wohl aber einen Prozess, der eine Ausnutzung erkennt und in Stunden reagiert.

Wen die Pflicht trifft

Die Pflicht trifft den Hersteller: wer ein Produkt mit digitalen Elementen entwickelt oder herstellt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke vermarktet, entgeltlich oder unentgeltlich (Art. 3 Nr. 13).

Ein Produkt mit digitalen Elementen ist ein Software- oder Hardwareprodukt samt seiner Datenfernverarbeitung (Art. 3 Nr. 1). In den Anwendungsbereich fällt es, wenn seine bestimmungsgemäße oder vorhersehbare Verwendung eine direkte oder indirekte, logische oder physische Datenverbindung zu einem Gerät oder Netz einschließt (Art. 2 Abs. 1).

Maschinen und Anlagen

Maschinen sind nicht ausgenommen. Eine Maschine mit Steuerung und Datenverbindung, etwa über Netzwerk, Feldbus, Fernwartung oder USB, erfüllt die Merkmale eines Hardwareprodukts mit Datenverbindung. Die Kommission behandelt Maschinen in ihrer Leitlinie ausdrücklich als Produkte mit digitalen Elementen. Auch komplexe Anlagen aus mehreren Hard- und Softwareteilen, die als ein Produkt in Verkehr gebracht werden, zählen dazu; lange Entwicklungszyklen ändern daran nichts. Die Prüfung im Einzelfall bleibt nötig.

Ausnahmen

Ausgenommen sind unter anderem Medizinprodukte und In-vitro-Diagnostika, typgenehmigte Kraftfahrzeuge, zertifizierte Luftfahrtprodukte, Schiffsausrüstung, identische Ersatzteile sowie Produkte ausschließlich für nationale Sicherheit und Verteidigung (Art. 2 Abs. 2 bis 7). Für bestimmte Fahrzeuge der Klasse L gilt eine eigene Ausnahme nach der Delegierten Verordnung (EU) 2025/1535.

Was gemeldet werden muss

Artikel 14 kennt zwei Anlässe:

Aktiv ausgenutzte Schwachstelle (Art. 14 Abs. 1): eine Schwachstelle im Produkt, zu der verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigners ausgenutzt hat (Art. 3 Nr. 42). Mehr dazu auf der Seite Aktiv ausgenutzte Schwachstelle.
Schwerwiegender Sicherheitsvorfall (Art. 14 Abs. 3 und 5): ein Vorfall, der die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, sensible oder wichtige Daten oder Funktionen zu schützen, oder der zur Ausführung von Schadcode im Produkt oder beim Nutzer geführt hat oder führen kann. Die Erwägungsgründe nennen als Beispiel Schadcode, der in den Freigabekanal für Sicherheitsupdates eingeschleust wurde.

Eine Schwachstelle, die ohne böswillige Absicht bei Tests, Untersuchungen oder einer Offenlegung in gutem Glauben gefunden wurde, ist nicht meldepflichtig (Erwägungsgrund 68). Freiwillig melden lässt sie sich nach Art. 15; die ENISA-Plattform bietet dafür noch keine Funktion an.

Die Fristen im Überblick

Aktiv ausgenutzte Schwachstelle

Stunde 0KenntnisErstbewertung ergibt mit hinreichender Sicherheit eine aktive Ausnutzung.
bis 24 StundenFrühwarnungMitgliedstaaten, in denen das Produkt bereitgestellt wurde.
bis 72 StundenMeldungProdukt, Art der Ausnutzung, Maßnahmen, Hinweise für Nutzer.
14 Tage nach KorrekturAbschlussberichtSchweregrad, Auswirkungen, Angreifer, Update.

Schwerwiegender Sicherheitsvorfall

Stunde 0KenntnisVorfall beeinträchtigt die Sicherheit des Produkts.
bis 24 StundenFrühwarnungVerdacht auf rechtswidrige oder böswillige Handlung.
bis 72 StundenMeldungArt des Vorfalls, erste Bewertung, Maßnahmen.
1 Monat nach MeldungAbschlussberichtUrsache, Bedrohung, getroffene Abhilfe.

Fristen nach Art. 14 Abs. 2 und 4 der Verordnung (EU) 2024/2847. Das CSIRT kann zusätzlich einen Zwischenbericht anfordern.

Alle Fristen beginnen, sobald der Hersteller Kenntnis erlangt. Eine Legaldefinition dafür gibt es im CRA nicht. Die Kommission versteht darunter den Zeitpunkt, an dem eine unverzüglich durchgeführte Erstbewertung mit hinreichender Sicherheit ergibt, dass eine Schwachstelle aktiv ausgenutzt wird oder ein schwerer Vorfall die Produktsicherheit beeinträchtigt hat. Wer die Erstbewertung verschleppt, verschiebt die Frist also nicht.

Wichtig für die Planung: Die 14 Tage für den Abschlussbericht laufen ab dem Zeitpunkt, zu dem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist. Beim Vorfall läuft der Monat ab der 72-Stunden-Meldung. Der Zähler in der ENISA-Plattform zeigt die 72-Stunden-Meldung derzeit 48 Stunden nach der Frühwarnung als fällig an; maßgeblich bleibt die gesetzliche Frist ab Kenntnis.

Fristen nicht von Hand zählen

Fixradar gleicht Ihre Stücklisten täglich ab, erkennt aktiv ausgenutzte Lücken und bereitet Frühwarnung, Meldung und Abschlussbericht für die ENISA-Plattform vor.

Demo vereinbaren Fixradar ansehen

Was in jede Meldung gehört

Stufe	Schwachstelle (Art. 14 Abs. 2)	Vorfall (Art. 14 Abs. 4)
Frühwarnung 24 Stunden	Mitgliedstaaten, in denen das Produkt nach Kenntnis des Herstellers bereitgestellt wurde	Ob ein Verdacht auf rechtswidrige oder böswillige Handlungen besteht; gegebenenfalls Mitgliedstaaten der Bereitstellung
Meldung 72 Stunden	Allgemeine Angaben zum Produkt, Art der Ausnutzung und der Schwachstelle, ergriffene Korrektur- oder Risikominderungsmaßnahmen, Maßnahmen für Nutzer, auf Wunsch Einstufung der Vertraulichkeit	Art des Vorfalls, erste Bewertung, ergriffene Maßnahmen, Maßnahmen für Nutzer, auf Wunsch Einstufung der Vertraulichkeit
Abschlussbericht	Spätestens 14 Tage nach Verfügbarkeit einer Korrektur: Beschreibung mit Schweregrad und Auswirkungen, falls bekannt Angaben zum Angreifer, Angaben zum Sicherheitsupdate	Innerhalb eines Monats nach der Meldung: ausführliche Beschreibung mit Schweregrad und Auswirkungen, Art der Bedrohung oder Ursache, getroffene und laufende Abhilfe

Das CSIRT kann zusätzlich einen Zwischenbericht zum Stand anfordern (Art. 14 Abs. 6). Ein Durchführungsrechtsakt zum Format der Meldungen nach Art. 14 Abs. 10 ist bisher nicht erlassen. Welche Felder abgefragt werden, ergibt sich derzeit aus dem Glossar und dem Benutzerhandbuch der ENISA-Plattform; für Schwachstellen gehören dazu unter anderem CVE- und EUVD-Kennung, Schweregrad, Angreifer und Art des Exploits.

An wen gemeldet wird

Gemeldet wird über die einheitliche Meldeplattform der ENISA (Single Reporting Platform, Art. 16). Die Meldung geht an das als Koordinator benannte CSIRT im Mitgliedstaat der Hauptniederlassung und ist gleichzeitig für die ENISA zugänglich (Art. 14 Abs. 7). Hauptniederlassung ist der Staat, in dem die Cybersicherheitsentscheidungen zu den Produkten überwiegend getroffen werden.

Für Deutschland ist das BSI mit CERT-Bund zuständig. Das BSI koordiniert die CRA-Meldungen nach eigener Aussage seit dem 11. September 2026. Ein Hersteller mit mehreren Niederlassungen in der EU gibt je Ereignis nur eine Meldung ab. Wie die Registrierung und die Meldung auf der Plattform praktisch ablaufen, steht auf der Seite Meldung über die ENISA-Meldeplattform.

Nutzer informieren

Neben der Behördenmeldung informiert der Hersteller die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall und über Maßnahmen, die sie ergreifen können, wenn möglich in einem strukturierten, maschinenlesbaren Format (Art. 14 Abs. 8). Eine feste Stundenfrist nennt der Text nicht; die Information muss rechtzeitig kommen. Unterbleibt sie, können die CSIRTs die Nutzer selbst informieren.

Die Kommission legt die Pflicht risikobasiert aus: Sie verlangt keine öffentliche Bekanntmachung. Bei Produkten in sensiblen Umgebungen kann die Detailinformation auf betroffene Kunden beschränkt bleiben. Ein maschinenlesbares Format für solche Hinweise sind etwa VEX-Dokumente oder Sicherheitshinweise im CSAF-Format.

Maschinen im Feld und Altprodukte

Für Bestandsprodukte gilt eine wichtige Ausnahme von der Übergangsregel: Die Pflichten aus Art. 14 gelten für alle Produkte im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Eine Maschine aus dem Jahr 2019 mit Fernwartung ist also seit September 2026 meldepflichtig, wenn eine aktiv ausgenutzte Lücke in ihr steckt. Laut Kommission gilt das auch nach dem Ende des Unterstützungszeitraums.

Rückwirkend gemeldet wird nichts: Wusste der Hersteller schon vor dem 11. September 2026 von der aktiven Ausnutzung, muss er nicht melden. Erfährt er erst danach davon, ist zu melden, auch wenn die Schwachstelle selbst schon länger bekannt war.

Bußgelder und deutsche Umsetzung

Verstöße gegen Art. 13 und 14 sowie gegen die Anforderungen aus Anhang I können mit Geldbußen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2). Bei der Bemessung zählen unter anderem Schwere, Dauer und Unternehmensgröße. Für Kleinst- und Kleinunternehmen sieht Art. 64 Abs. 10 eine Ausnahme beim Versäumen der 24-Stunden-Frist vor; wie weit sie reicht, ist nach dem Wortlaut nicht eindeutig.

In Deutschland hat der Bundestag am 15. Oktober 2026 das CRA-Durchführungsgesetz beschlossen. Es ändert das BSI-Gesetz: Das BSI wird Marktüberwachungsbehörde, notifizierende Behörde und Bußgeldbehörde und nimmt die Aufgaben als CSIRT wahr. Die Marktüberwachung und die Bußgeldvorschriften treten nach der Ausschussfassung am 11. Dezember 2027 in Kraft. Der zweite Durchgang im Bundesrat und die Verkündung standen Anfang November 2026 noch aus. Die Meldepflicht selbst gilt unabhängig davon unmittelbar aus der Verordnung.

So bereiten Sie sich vor

Produkte erfassen: Welche Maschinen und Geräte mit Datenverbindung sind auf dem EU-Markt, in welchen Firmwareständen, in welchen Ländern?
Stücklisten aufbauen: Ohne Software-Stückliste (SBOM) lässt sich nicht erkennen, ob eine ausgenutzte Lücke im eigenen Produkt steckt. Siehe SBOM nach dem CRA.
Quellen beobachten: Hinweise von Kunden, Partnern und Behörden sowie öffentliche Kataloge ausgenutzter Lücken (etwa CISA KEV und die EUVD der ENISA) regelmäßig gegen die eigenen Stücklisten prüfen.
Zuständigkeit klären: Wer bewertet, wer meldet, wer vertritt? Auf der ENISA-Plattform braucht es einen registrierten Vertreter mit EU-Login.
Texte und Nachweise vorbereiten: Frühwarnung, Meldung und Abschlussbericht müssen auf Englisch und im Feldraster der Plattform vorliegen; jede Entscheidung sollte nachvollziehbar dokumentiert sein.

Häufige Fragen

Gilt die CRA-Meldepflicht schon, obwohl der CRA erst 2027 gilt?

Ja. Art. 71 Abs. 2 zieht Art. 14 auf den 11. September 2026 vor. Seitdem sind aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle zu melden.

Muss ich auch für Maschinen melden, die schon ausgeliefert sind?

Ja. Nach Art. 69 Abs. 3 gelten die Pflichten aus Art. 14 auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.

Wann beginnt die 24-Stunden-Frist?

Mit der Kenntnis des Herstellers. Nach der Leitlinie der Kommission liegt sie vor, sobald eine unverzüglich durchgeführte Erstbewertung mit hinreichender Sicherheit eine aktive Ausnutzung ergibt.

An wen melden deutsche Hersteller?

Über die Meldeplattform der ENISA an das CSIRT im Land der Hauptniederlassung. Für Deutschland ist das BSI mit CERT-Bund benannt.

Muss ich jede Schwachstelle in meinem Produkt melden?

Nein. Pflicht ist die Meldung aktiv ausgenutzter Schwachstellen. Lücken, die bei Tests oder durch Forschende in gutem Glauben gefunden wurden, ohne Nachweis einer böswilligen Ausnutzung, sind nicht meldepflichtig.

Quellen

Stand: November 2026. Die Angaben geben die allgemeine Rechtslage wieder und ersetzen keine Rechtsberatung im Einzelfall.

Weiterlesen

Meldung über die ENISA-Meldeplattform Schritt für SchrittSeit 11.09.2026 live: Zugang mit EU Login, Rollen der Vertreter, Wahl des CSIRT und der Ablauf einer Meldung auf der Single Reporting Platform.Aktiv ausgenutzte Schwachstelle: wann die Meldepflicht greiftDie Definition aus Art. 3 Nr. 42, der Beginn der Frist, Zero-Days, Bug-Bounty-Funde und Lücken in Zulieferkomponenten.SBOM nach dem CRA: was die Software-Stückliste leisten mussPflicht ab Dezember 2027, gebraucht schon heute: Anforderungen aus Anhang I, Formate, die BSI-Richtlinie und der Weg zu Stücklisten je Firmwarestand.

CRA-Meldepflicht: wer bis wann was melden muss