CRA-Meldepflichten ab 11. September 2026: 21-Tage-Countdown für Produkte mit digitalen Elementen
Die erste operative Pflicht des Cyber Resilience Act greift am 11. September 2026: Hersteller von Produkten mit digitalen Elementen — Software eingeschlossen — müssen aktiv ausgenutzte Schwachstellen und schwerwiegende sicherheitsrelevante Vorfälle an ihr CSIRT und die ENISA melden. Der Hauptkorpus der CRA-Pflichten (Secure-by-Design-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung) gilt ab dem 11. Dezember 2027 — aber die Meldung kommt zuerst, und Meldebereitschaft ist eine operative Fähigkeit, kein Dokument.
Wie die Pflicht aussieht
- Frühwarnung binnen 24 Stunden ab Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schweren Vorfalls.
- Meldung binnen 72 Stunden mit Bewertung sowie ein Abschlussbericht nach Vorgabe.
- Der Anwendungsbereich ist breit: Wer Software oder vernetzte Produkte unter eigenem Namen auf den EU-Markt bringt, sollte sich als erfasst betrachten, bis die Analyse etwas anderes ergibt.
Bereitschaft in fünf Zügen
- Festlegen, wer „Kenntnis erlangt”. Die Uhr startet mit der Kenntnis — definieren Sie Detektionsquellen und einen internen Weg, der Wochenenden übersteht.
- Meldeendpunkte kartieren (nationales CSIRT, ENISA-Plattform) und Vorlagen vorformulieren.
- Schwachstellenmanagement mit Legal verbinden. Exploited-in-the-wild-Triage muss die Meldeanalyse automatisch auslösen.
- Die Pflicht an Lieferanten weiterreichen — vertragliche Informationspflichten, SBOM-Erwartungen, Reaktionszeiten.
- Einmal vor September proben. Ein zweistündiges Tabletop heute ist billiger als der erste Ernstfall gegen eine 24-Stunden-Uhr.
Wer zusätzlich unter NIS2 oder DORA fällt, sollte die drei Meldestränge — gleiche Fakten, verschiedene Behörden und Schwellen — in ein Vorfall-Playbook zusammenführen.
Quellen: Verordnung (EU) 2024/2847 (CRA) · Europäische Kommission — CRA-Meldepflichten