Cyber Resilience Act: Meldepflichten für Hersteller gelten seit September 2026
Cybersicherheit · Produktsicherheit · VO (EU) 2024/2847 · 11. September 2026
Der Cyber Resilience Act (CRA) legt erstmals horizontale Cybersicherheitsanforderungen für Hard- und Software fest, die in der EU vertrieben wird. Während die meisten Pflichten erst ab dem 11. Dezember 2027 gelten, sind die Meldepflichten nach Art. 14 seit dem 11. September 2026 anwendbar. Sie betreffen Hersteller vom Smart-Home-Gerät bis zur Unternehmenssoftware.
- Die Verordnung wurde am 20. November 2024 im Amtsblatt veröffentlicht und ist am 10. Dezember 2024 in Kraft getreten.
- Gemeldet werden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht danach.
- Die Meldepflicht gilt auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Wer betroffen ist
Der CRA erfasst „Produkte mit digitalen Elementen“, also Geräte und Software, die mit anderen Geräten oder Netzen verbunden werden können. Ausgenommen sind Bereiche mit eigenen Regelungen, etwa Medizinprodukte, Kraftfahrzeuge und Luftfahrt. Hersteller müssen ab Dezember 2027 grundlegende Sicherheitsanforderungen über den gesamten Lebenszyklus erfüllen, Sicherheitsupdates bereitstellen, Konformitätsbewertungen durchführen und die CE-Kennzeichnung anbringen. Seit dem 11. Juni 2026 gelten bereits die Regeln zu notifizierten Stellen.
Die Meldepflichten im Einzelnen
Erfährt ein Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall, der die Sicherheit seines Produkts beeinträchtigt, muss er innerhalb von 24 Stunden eine Frühwarnung und innerhalb von 72 Stunden eine Meldung mit näheren Angaben abgeben. Der Abschlussbericht folgt bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme, bei Vorfällen binnen eines Monats. Gemeldet wird über die einheitliche Meldeplattform der ENISA an das als Koordinator benannte CSIRT des Mitgliedstaats der Hauptniederlassung; die Plattform ist zum 11. September 2026 in Betrieb gegangen. Zusätzlich sind die betroffenen Nutzer zu informieren.
Die Meldepflicht knüpft an die Kenntnis des Herstellers an – nicht daran, wann das Produkt verkauft wurde.
Bedeutung für die Praxis
Gerade die Erstreckung auf Altprodukte macht die Pflicht anspruchsvoll: Hersteller benötigen einen funktionierenden Prozess zur Schwachstellenbehandlung für ihr gesamtes Portfolio. Verstöße gegen die Meldepflichten sind bußgeldbewehrt. Daneben bleiben Meldepflichten nach NIS2 und DSGVO bestehen, sodass ein Vorfall mehrere Meldungen auslösen kann.
- Produktportfolio auf Produkte mit digitalen Elementen und Ausnahmen prüfen
- Meldeprozess mit 24-/72-Stunden-Fristen einrichten und Zugang zur ENISA-Plattform klären
- Lieferanten- und Komponentenverträge um Pflichten zur Schwachstelleninformation ergänzen
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex ↗
Fragen zu diesem Thema?
Wir unterstützen Hersteller und Händler bei der Einordnung ihrer Produkte, beim Aufbau von Meldeprozessen und bei der Vertragsgestaltung in der Lieferkette.
Beratung anfragen ↗Redaktionsstand: 9. November 2026. Der Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.
Mehr zum Rechtsgebiet