TL;DR
- Die CRA-Uhr startet im Moment der Kenntnisnahme – nicht beim Fix und nicht, wenn das Problem öffentlich wird.
- Ab 11.09.2026 löst das eine 24-Stunden-Warnung, eine 72-Stunden-Meldung und einen Abschlussbericht aus.
Unter allen EU-Cyber-Resilience-Act-Pflichten verzeihen die Meldefristen am wenigsten – schließlich zählen Sie sie in Stunden. Sie gelten ab dem 11. September 2026 und laufen über die CRA Single Reporting Platform. Deshalb zählt eines am meisten: genau zu wissen, wann die Uhr startet.
Was die CRA-Meldefristen auslöst: die Kenntnisnahme
Artikel 14 knüpft jede Frist an einen einzigen Moment: die Kenntnisnahme. Er wartet weder auf einen Patch noch darauf, dass das Problem öffentlich wird. Zwei Ereignisse zählen – eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt und ein schwerwiegender Vorfall, der die Produktsicherheit trifft. „Aktiv ausgenutzt” ist dabei der entscheidende Zusatz: Angreifer nutzen die Lücke real, nicht bloß theoretisch. Genau hier zählt Triage-Disziplin am meisten – unser Beitrag zu den Meldepflicht-Irrtümern räumt mit den häufigsten Fehlern auf.
Die drei CRA-Meldefristen
Sobald Sie Kenntnis erlangen, gilt dieselbe Kette für Schwachstellen und Vorfälle:
- 24 Stunden — Frühwarnung. Senden Sie sie unverzüglich, spätestens jedoch innerhalb von 24 Stunden.
- 72 Stunden — Meldung. Ergänzen Sie die allgemeine Art des Problems sowie mögliche Gegenmaßnahmen.
- Abschlussbericht. Bei einer aktiv ausgenutzten Schwachstelle innerhalb von 14 Tagen, nachdem ein Fix verfügbar ist. Bei einem schwerwiegenden Vorfall innerhalb eines Monats nach der 72-Stunden-Meldung.
Diese Meldungen gehen gleichzeitig an Ihr koordinierendes CSIRT und die ENISA. Die vollständige Kette zeigt unser Leitfaden zu den Schwachstellenmeldepflichten. Für das größere Bild lesen Sie außerdem, was 2026 beginnt und was 2027 folgt.
● Die Uhr startet am 11. September 2026. Vor allem startet sie im Moment der Kenntnisnahme.
Prüfen Sie also mit unserem kostenlosen Scope-Tool, für welche Produkte das gilt. Danach bauen Sie den Reaktionsprozess mit unserer CRA Compliance Software oder im Vergleich der CRA Compliance Pakete.
Wann Sie verzögern dürfen — und wann nicht
Die Fristen bleiben fest, doch der Inhalt ist nicht immer alles-oder-nichts: Aus begründeten Cybersicherheitsgründen dürfen Sie Teile einer Meldung verzögern, um Nutzer nicht zu gefährden, bevor ein Fix existiert – die Bedingungen dafür regelt die CRA delegierte Verordnung 2026/881. Unverhandelbar bleibt dennoch zweierlei: Sie dürfen die 24-Stunden-Warnung nicht als optional behandeln und die Uhr nicht zurücksetzen. Andernfalls drohen Bußgelder von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes.
CRA-Meldefristen in der Praxis einhalten
Eine 24-Stunden-Frist ist ein Prozessproblem, kein Papierproblem. Bauen Sie deshalb drei Fähigkeiten auf: ein Monitoring, das „aktiv ausgenutzt”-Signale sichtbar macht, eine Person, die die Schwere schnell einordnet, und Meldeentwürfe, die Sie nur noch vervollständigen. Dann gehört Stunde eins der Reaktion, nicht der Vorlagensuche. Ein kurzer Readiness Check zeigt, ob dieser Muskel heute existiert. In der COMPLYD-Plattform teilen sich Schwachstellenbehandlung und die Vorbereitung der SRP-Meldung einen Workflow, sodass die Kenntnisnahme direkt in eine getaktete, belegte Reaktion fließt. Möchten Sie es sehen? Dann testen Sie unser kostenloses CRA-Online-Check-Tool, buchen Sie eine Demo oder erfahren Sie mehr über das Team hinter COMPLYD.
Häufige Fragen
Wann beginnen die CRA-Meldefristen? Sie gelten ab dem 11. September 2026. Für jedes Ereignis startet die Uhr im Moment der Kenntnisnahme.
Wie lauten die CRA-Meldefristen? Eine 24-Stunden-Frühwarnung und eine 72-Stunden-Meldung ab Kenntnisnahme. Danach ein Abschlussbericht — 14 Tage nach einem Fix bei einer aktiv ausgenutzten Schwachstelle, oder ein Monat nach der 72-Stunden-Meldung bei einem schwerwiegenden Vorfall.
Bedeutet Kenntnisnahme, wenn das Problem öffentlich wird? Nein. Sie bedeutet, wenn Sie von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall wissen — unabhängig davon, ob es öffentlich ist.
Quellen: Verordnung (EU) 2024/2847 (CRA) — EUR-Lex, ENISA — Single Reporting Platform
Passend zu diesem Beitrag
Im CRA Leitfaden · Schritt 7
Im CRA Leitfaden · Schritt 6
Wo steht dein Produkt beim Cyber Resilience Act?
Erste Einordnung in Minuten – oder direkt die Software ansehen, die aus dem Gesetzestext einen Workflow macht.
Stephan Hutterer
Gründer & CEO, COMPLYD
Produktsicherheits-Spezialist mit über 20 Jahren Erfahrung im Schutz kritischer OT-Systeme und tiefer IEC-62443-Expertise. Er gründete COMPLYD, um den EU Cyber Resilience Act für Produktteams umsetzbar zu machen.