EU-CRA: Meldepflichten gelten seit 11. September 2026
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden an ENISA melden. Was Software-Anbieter jetzt tun müssen.
Am 11. September 2026 begannen die Meldepflichten des EU Cyber Resilience Act (CRA) zu gelten. Hersteller von Produkten mit digitalen Elementen müssen jetzt aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Dazu gehören viele Software- und Hardwareprodukte, die in der EU verkauft werden. Die erste Warnung ist binnen 24 Stunden nach Kenntniserlangung fällig. Das ist allgemeine Information und keine Rechtsberatung.
Was genau ist verlangt?
Laut der CRA-Meldeseite der Europäischen Kommission müssen Hersteller bei einer aktiv ausgenutzten Schwachstelle Folgendes senden:
- eine Frühwarnung binnen 24 Stunden nach Kenntniserlangung;
- eine Meldung mit mehr Details binnen 72 Stunden;
- einen Abschlussbericht spätestens 14 Tage, nachdem eine Korrekturmaßnahme verfügbar ist.
Bei schwerwiegenden Vorfällen beschreibt Anwaltskommentar den Abschlussbericht als binnen eines Monats fällig. Lassen Sie sich den Wortlaut von Artikel 14 der Verordnung (EU) 2024/2847 von Ihrer Beratung bestätigen.
Die Meldungen laufen über eine einzige Meldeplattform, die von ENISA betrieben wird, der EU-Agentur für Cybersicherheit. Sie leitet die Meldungen an das als Koordinator benannte CSIRT (nationales Team für die Reaktion auf Sicherheitsvorfälle) und an ENISA weiter. Help Net Security berichtete, dass die Plattform Mitte September 2026 gestartet ist. Manche Kommentare sagen, bevollmächtigte Vertreter sollten sich vorab registrieren. Warten Sie daher nicht auf einen Vorfall, um herauszufinden, wie das funktioniert.
Wen betrifft das?
Jeden, der Produkte mit digitalen Elementen für den EU-Markt herstellt. Für ein Startup heißt das eine herunterladbare App, ein Firmware-Image, ein Entwickler-SDK oder ein vernetztes Gerät. Reine Online-Dienste liegen größtenteils außerhalb des Hauptbereichs des CRA. Lassen Sie aber prüfen, ob eine Komponente, die Sie ausliefern, als Produkt zählt.
Die meisten anderen CRA-Pflichten, etwa die Konformitätsbewertung und Sicherheitsanforderungen an das Design, gelten später. Die Kanzlei McCann FitzGerald setzt die meisten davon auf den 11. Dezember 2027.
Was sollte ein kleines Team diesen Monat tun?
- Benennen Sie eine verantwortliche Person, die entscheiden kann, dass eine Schwachstelle aktiv ausgenutzt wird.
- Schreiben Sie ein Runbook für die 24 Stunden: Wer wird alarmiert, wer hat den Zugang zur Plattform, wer entwirft die Meldung?
- Führen Sie eine Software-Stückliste (SBOM), damit Sie schnell sehen, ob eine Lücke bei einem Drittanbieter Sie betrifft.
- Veröffentlichen Sie einen Sicherheitskontakt und eine Richtlinie zur Offenlegung von Schwachstellen.
- Üben Sie einmal. Eine Tischübung (Tabletop) dauert eine Stunde und deckt fehlende Zugänge auf.
Für Hilfe bei Scans und Monitoring finden Sie auf Woodander den Hub für Sicherheit, Datenschutz und Compliance.
FAQ
Beginnen die 24 Stunden, wenn eine CVE veröffentlicht wird?
Die Quellen formulieren unterschiedlich. Die übliche Lesart: Die Frist beginnt, wenn Sie von einer aktiv ausgenutzten Schwachstelle erfahren, nicht wenn eine CVE-Nummer erscheint.
Muss ich jeden Fehler melden?
Nein. Die Pflicht betrifft aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle.
