# Die Meldepflicht nach dem CRA, verständlich erklärt

Seit dem **11. September 2026** muss jeder Hersteller eines Produkts mit digitalen Elementen auf dem EU-Markt aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden - innerhalb von Stunden, nicht Wochen.

Source: https://kernwatch.com/de/cra-meldepflicht · Zuletzt aktualisiert: 2026-10-17

## Das Wichtigste in Kürze

- Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847; sie trat am 10. Dezember 2024 in Kraft.
- Die Meldepflichten (Artikel 14) gelten ab dem 11. September 2026, auch für Produkte, die bereits auf dem Markt sind.
- Aktiv ausgenutzte Schwachstelle: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur.
- Schwerwiegender Vorfall: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
- Meldungen laufen über die zentrale Meldeplattform der ENISA an das koordinierende CSIRT und an die ENISA.
- Alle übrigen CRA-Anforderungen gelten ab dem 11. Dezember 2027; Bußgelder reichen bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes.

## Was eine Meldung auslöst

Artikel 14 des Cyber Resilience Act (Verordnung (EU) 2024/2847) nennt zwei Auslöser:

- **Eine aktiv ausgenutzte Schwachstelle** in Ihrem Produkt - es gibt verlässliche Belege, dass sie ausgenutzt wurde.

- **Ein schwerwiegender Vorfall**, der die Sicherheit Ihres Produkts beeinträchtigt - zum Beispiel einer, der die Integrität Ihres Update-Mechanismus oder der vom Produkt verarbeiteten Daten gefährdet.

Die Pflicht gilt auch für Produkte, die bereits auf dem Markt sind, und hängt nicht von der Unternehmensgröße ab.

## Die Fristen

|  | Aktiv ausgenutzte Schwachstelle | Schwerwiegender Vorfall |
|---|---|---|

| Frühwarnung | innerhalb von 24 Stunden nach Kenntnis | innerhalb von 24 Stunden nach Kenntnis |

| Meldung | innerhalb von 72 Stunden nach Kenntnis | innerhalb von 72 Stunden nach Kenntnis |

| Abschlussbericht | spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist | innerhalb eines Monats nach der Meldung |

Die Frist beginnt mit Ihrer Kenntnis - deshalb ist es so wichtig zu wissen, was in jedem ausgelieferten Release steckt.

## Wer die Meldungen erhält

Meldungen werden über die **zentrale Meldeplattform der ENISA**, der EU-Agentur für Cybersicherheit, eingereicht. Sie gehen an das als Koordinator benannte CSIRT im Mitgliedstaat Ihrer Hauptniederlassung und an die ENISA. Außerdem müssen Sie **betroffene Nutzer** über die Schwachstelle oder den Vorfall und mögliche Gegenmaßnahmen informieren.

## Was der CRA außerdem verlangt

- Sicherheitsupdates für die erwartete Nutzungsdauer des Produkts - in den meisten Fällen mindestens fünf Jahre.

- Eine Richtlinie und eine Kontaktstelle für die koordinierte Offenlegung von Schwachstellen.

- Eine Software-Stückliste (SBOM) und eine dokumentierte Behandlung jeder Schwachstelle.

- Technische Dokumentation und eine EU-Konformitätserklärung, die zehn Jahre aufbewahrt werden.

Ab dem **11. Dezember 2027** gelten alle Anforderungen, und Produkte ohne CRA-Konformität dürfen in der EU nicht mehr in Verkehr gebracht werden.

## Wie Kernwatch hilft

- Markiert Komponenten mit bekannten ausgenutzten Schwachstellen in den von Ihnen unterstützten Releases und legt in Ihrer Aufgaben-Inbox eine Aufgabe an, einen Meldefall zu eröffnen.

- Eröffnet den Fall mit den Fristen für 24 Stunden, 72 Stunden und den Abschlussbericht und erinnert die richtigen Personen rechtzeitig.

- Entwirft Frühwarnung, Meldung und Abschlussbericht aus Ihren Produkt-, Release- und Bewertungsdaten zur Prüfung und Freigabe.

- Hilft beim Einreichen: freigegebenen Text kopieren, die ENISA-Plattform öffnen, dort einreichen und Referenz und Eingangsbestätigung in Kernwatch erfassen. Die ENISA-Plattform bietet Herstellern keine API, deshalb kann Kernwatch nicht für Sie einreichen.

- Erkennt den Fix: Enthält ein neueres Release die verwundbare Version nicht mehr, schlägt Kernwatch das Datum der Abhilfemaßnahme vor, mit dem die 14-Tage-Frist für den Abschlussbericht beginnt.

- Informiert Nutzer nach Ihrer Freigabe - per E-Mail an die Kundenkontakte des Produkts und im Professional-Plan mit dem veröffentlichten Advisory - und dokumentiert, wer wann informiert wurde.

## Offizielle Quellen

- [Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- [Cyber Resilience Act, Europäische Kommission](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- [ENISA - EU-Agentur für Cybersicherheit](https://www.enisa.europa.eu/)

Diese Seite fasst die Verordnung (EU) 2024/2847 zur Orientierung zusammen und ist keine Rechtsberatung.