TL;DR
- Ab 11.09.2026 sind die CRA-Meldepflichten rein reaktiv: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle.
- Volle Lebenszyklus-Pflichten folgen am 11.12.2027 – zwei Horizonte, zwei Fähigkeiten.
Mit dem EU Cyber Resilience Act in der gestuften Anwendungsphase stehen Hersteller vor einem doppelten Horizont. Die CRA Meldepflichten nach Artikel 14 beginnen am 11. September 2026; die volle Anwendung folgt am 11. Dezember 2027. Dies baut auf unserem Überblick zum EU Cyber Resilience Act, den CRA Leitlinien und der CRA Schwachstellenmeldung auf – hier im Zusammenhang.
Was die CRA Meldepflichten ab 11. September 2026 verlangen
Die erste Stufe betrifft ausschließlich die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle. Ab September 2026 müssen Hersteller ENISA und das zuständige CSIRT über die Single Reporting Platform sowie ihre Nutzer informieren, sobald sie erkennen, dass eine Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Vorfall die Produktsicherheit kompromittiert hat. Die Meldung erfolgt in drei Schritten: eine Frühwarnung in 24 Stunden, eine Meldung in 72 Stunden und ein Abschlussbericht in 14 Tagen nach Verfügbarkeit der Abhilfe – bzw. bei schwerwiegenden Vorfällen binnen eines Monats nach dem detaillierten Bericht. Nutzer sind umgehend und maschinenlesbar zu informieren; CSIRTs dürfen Nutzer direkt informieren, wenn der Hersteller es unterlässt.
Was „Kenntniserlangung” in der Praxis heißt
Die Kommissions-Guidance ist zentral für die CRA Meldepflichten: Ein Hersteller braucht vor der Meldung keine vollständige technische Gewissheit. Auslöser ist der Moment, in dem das Unternehmen nach einer ersten Bewertung mit hinreichender Gewissheit schließen kann, dass eine aktiv ausgenutzte Schwachstelle vorliegt oder ein schwerwiegender Vorfall das Produkt kompromittiert hat. Artikel 3(41) definiert eine „ausnutzbare Schwachstelle” als eine, die von einem Angreifer unter praktischen Betriebsbedingungen wirksam genutzt werden kann – nicht nur im Labor oder in der Simulation. Sie brauchen also zuerst ein gut definiertes Bedrohungsmodell (Architektur, Zweckbestimmung, vorhersehbarer Missbrauch, Einsatzumgebung), um zu beurteilen, ob eine Schwachstelle praktisch ausnutzbar ist, und prüfen dann auf Hinweise, dass sie tatsächlich ausgenutzt wird (Telemetrie, Incident-Signale, Kundenmeldungen, Threat Intelligence). Erst wenn beides zutrifft, starten die Uhren – nicht schon, wenn der Hersteller erstmals benachrichtigt wird.
CRA Meldepflichten, die 2026 NICHT gelten
Häufige Frage: Müssen Hersteller ab September 2026 aktives Schwachstellen-Monitoring betreiben? Nein. Die kontinuierliche Schwachstellenidentifikation und die Pflicht „ohne bekannte ausnutzbare Schwachstellen” stammen aus Anhang I (Teil I Nr. 2(a)) und Artikel 13, die erst ab 11. Dezember 2027 gelten. 2026 verlangen die CRA Meldepflichten daher keine Upstream-Meldung an Zulieferer (Artikel 13(6)), keine zentrale Anlaufstelle für Nutzer (Artikel 13(17)) und keine vollständige Vulnerability-Management-Policy (Anhang I Teil II). Nach Artikel 71 gilt früh nur Artikel 14 (11. September 2026); Kapitel IV (Artikel 35–51) ab 11. Juni 2026; alles Übrige ab 11. Dezember 2027.
Zwei Horizonte, zwei Fähigkeiten
- Ab 11. September 2026 – eine reaktive Fähigkeit: glaubwürdige Hinweise bewerten und aktiv ausgenutzte Schwachstellen oder schwerwiegende Vorfälle fristgerecht melden. Kontinuierliches Scannen, systematisches Monitoring oder automatisierte Vulnerability Intelligence sind noch nicht erforderlich.
- Ab 11. Dezember 2027 – ein proaktives, umfassendes Schwachstellenmanagement über den Lebenszyklus, mit Überwachung neuer Schwachstellen und vollständiger Anhang-I-Dokumentation.
● Artikel 14 ist ab 11. September 2026 aktiv – volle Compliance folgt am 11. Dezember 2027.
Üben Sie den 24h/72h-Prozess mit unserer CRA Incident Reporting Software, testen Sie unser kostenloses CRA-Online-Check-Tool, oder buchen Sie eine Demo.
Wie COMPLYD Sie voraus hält
COMPLYD macht aus den CRA Meldepflichten einen eingeübten Prozess – geführte Klassifizierung, Risikoanalyse-Workflows, Composite-Product-Zusammenbau, Konformitätsunterstützung und Lebenszyklus-Management mit Schwachstellen- und Vorfallsmeldung –, sodass Sie die reaktive Pflicht 2026 erfüllen und für die Lebenszyklus-Pflichten 2027 bereit sind.
Häufige Fragen
Was startet am 11. September 2026?
Nur die CRA Meldepflichten nach Artikel 14: reaktive Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle über die Single Reporting Platform sowie Nutzerinformation.
Brauche ich ab 2026 Schwachstellenmanagement?
Nein. Kontinuierliches Schwachstellenmanagement, eine zentrale Anlaufstelle und Upstream-Meldung stammen aus Artikel 13 und Anhang I und gelten ab 11. Dezember 2027.
Wann startet die 24-Stunden-Frist?
Wenn Sie nach einer ersten Bewertung mit hinreichender Gewissheit schließen, dass eine Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Vorfall das Produkt kompromittiert hat – nicht schon bei der ersten Benachrichtigung.
Passend zu diesem Beitrag
Im CRA Leitfaden · Schritt 7
Im CRA Leitfaden · Schritt 0
Wo steht dein Produkt beim Cyber Resilience Act?
Erste Einordnung in Minuten – oder direkt die Software ansehen, die aus dem Gesetzestext einen Workflow macht.
Zuletzt aktualisiert am 18. September 2026 · Quellen: Verordnung (EU) 2024/2847 (CRA) — EUR-Lex, ENISA — Single Reporting Platform
Alexander Aigner
Experte für Produktsicherheit, COMPLYD
Experte für Produktsicherheit, der Produkte in zwei stark regulierten Branchen abgesichert hat – Medizin und Automotive. Er hilft Teams, den EU Cyber Resilience Act zu erfüllen, ohne die Entwicklung zu bremsen.