CRA-Meldepflicht seit 11.09.2026: Was Hersteller jetzt tun müssen
Der Cyber Resilience Act gilt voll erst ab 11. Dezember 2027. Eine Pflicht gilt schon: Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden — 15 Monate früher.
Produktrecht, nicht Betreiberrecht
Die Verordnung (EU) 2024/2847 ist am 10. Dezember 2024 in Kraft getreten und gilt EU-weit unmittelbar. Sie behandelt Cybersicherheit wie Produktsicherheit: Ein Produkt mit digitalen Elementen darf nur in Verkehr gebracht werden, wenn es die Anforderungen aus Anhang I erfüllt — nachgewiesen per Konformitätsbewertung und sichtbar an der CE-Kennzeichnung.
Das unterscheidet ihn von NIS2 und DORA. Diese verpflichten Einrichtungen nach Sektor und Größe. Der CRA verpflichtet Wirtschaftsakteure nach ihrer Rolle: Hersteller, Bevollmächtigte, Einführer und Händler. Wer ein Produkt nur betreibt oder nutzt, fällt nicht darunter; wer es unter eigenem Namen vertreibt oder wesentlich verändert, gilt als Hersteller.
Der gestaffelte Zeitplan
- 10.12.2024 — Inkrafttreten.
- 11.06.2026 — das Kapitel zu den Konformitätsbewertungsstellen wird anwendbar; notifizierte Stellen können sich benennen lassen.
- 11.09.2026 — die Meldepflichten aus Art. 14 werden anwendbar. Das ist die erste echte Frist.
- 11.12.2027 — volle Geltung: Anhang I, Konformitätsbewertung und CE-Kennzeichnung, technische Dokumentation, Software-Stückliste (SBOM), Schwachstellenbehandlung, Support-Zeitraum von mindestens fünf Jahren.
Was seit dem 11. September zu melden ist
Art. 14 verlangt von Herstellern die Meldung von aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen, die die Sicherheit des Produkts betreffen. Die Fristen folgen der NIS2-Meldekaskade:
- 24 Stunden — Frühwarnung.
- 72 Stunden — Meldung.
- 14 Tage bei ausgenutzten Schwachstellen bzw. ein Monat bei Vorfällen — Abschlussbericht.
Adressat ist das zuständige CSIRT und die ENISA, über eine einheitliche Meldeplattform. Wer NIS2 oder DORA umsetzt, kennt den Ablauf: gleiche Fristen, anderer Auslöser, anderer Adressat.
Welche Produkte strenger geprüft werden
Drei Risikostufen; der Regelfall ist die Selbstbewertung durch den Hersteller. Wichtige Produkte nach Anhang III — unterteilt in Klasse I und II, etwa Passwortmanager, VPNs, Firewalls oder Mikroprozessoren — und kritische Produkte nach Anhang IV, etwa Hardware-Sicherheitsmodule und Smartcards, verlangen strengere Verfahren; bei Klasse II und Anhang IV ist eine notifizierte Stelle einzubinden. Ausgenommen sind unter anderem Medizinprodukte (MDR/IVDR), typgenehmigte Kfz-Technik, zivile Luftfahrt und Produkte ausschließlich für nationale Sicherheit oder Verteidigung.
Was ab Dezember 2027 dazukommt
- Sicherheit ab Werk (Anhang I Teil I): keine bekannten ausnutzbaren Schwachstellen bei Auslieferung, sichere Standardkonfiguration, Zugriffsschutz, Verschlüsselung ruhender und übertragener Daten.
- Schwachstellenbehandlung (Anhang I Teil II): Schwachstellen dokumentieren und beheben, Sicherheitsupdates kostenlos und getrennt von Funktionsupdates, eine Kontaktstelle für Meldungen und eine veröffentlichte Koordinierungsrichtlinie — über einen Support-Zeitraum von mindestens fünf Jahren.
- SBOM und technische Dokumentation: eine maschinenlesbare Software-Stückliste mindestens der obersten Abhängigkeitsebene und die Dokumentation nach Anhang VII, zehn Jahre oder für die Dauer des Support-Zeitraums aufzubewahren.
- Einführer und Händler müssen prüfen, ob Konformitätsbewertung, CE-Kennzeichnung und Dokumentation vorliegen — und dürfen ein Produkt nicht bereitstellen, wenn sie Grund zur Annahme haben, dass es nicht konform ist.
Was das für Sie heißt
- Rolle klären, nicht Branche: Bringen Sie Software oder vernetzte Geräte in der EU in Verkehr, auch zugekaufte unter eigenem Namen? Dann sind Sie Hersteller.
- Produktregister anlegen: Jedes Produkt mit digitalen Elementen mit seiner Einstufung — Regelfall, Anhang III Klasse I/II oder Anhang IV. Daraus folgen Verfahren und Nachweise.
- Meldeuhr vor dem ersten Vorfall stellen: Wer erkennt eine aktiv ausgenutzte Schwachstelle, wer meldet binnen 24 Stunden, wer schreibt den Abschlussbericht?
- Mit NIS2/DORA zusammenlegen: Derselbe Meldeprozess, mit CSIRT und ENISA als zusätzlichen Adressaten.
- Den Rest nicht auf 2027 verschieben: SBOM, Schwachstellenprozess und Support-Zeitraum brauchen Vorlauf.
ReportAct führt das Produktregister mit CRA-Klassifizierung, nutzt für Art. 14 dieselbe Meldeuhr wie für NIS2 und DORA und bindet den CRA-Kontrollkatalog in dieselbe versiegelte Nachweiskette wie die übrigen sechs Regelwerke ein. Die maschinenlesbare SBOM-Verarbeitung und der CE-Konformitätslauf sind in Arbeit. Verordnungstext und Primärquellen: CRA-Regulierungsseite.
Keine Rechtsberatung. Dieser Beitrag erhebt keinen Anspruch auf Vollständigkeit; maßgeblich ist ausschließlich der Verordnungstext in der geltenden Fassung. Es gelten unsere AGB.