TL;DR
- Die CRA-Schwachstellenmeldung folgt einer Kette 24h/72h/14 Tage an Ihr koordinierendes CSIRT und die ENISA.
- Es gibt zwei getrennte Tracks (Schwachstellen und Vorfälle), und Sie müssen auch betroffene Nutzer informieren. Bereit bis 11.09.2026.
Was die CRA Schwachstellenmeldung verlangt
Nach Artikel 14 des EU Cyber Resilience Act greift die CRA Schwachstellenmeldung, sobald ein Hersteller von einer aktiv ausgenutzten Schwachstelle in einem Produkt mit digitalen Elementen erfährt: Meldung über die Single Reporting Platform an das zuständige CSIRT (als Koordinator) und ENISA. Beachten Sie den Auslöser – aktiv ausgenutzt, nicht bloß bekannt oder ausnutzbar.
Die dreistufige Schwachstellen-Kette
1. Frühwarnung – binnen 24 Stunden
Eine erste Meldung inklusive der betroffenen EU-Mitgliedstaaten und grundlegender Informationen zur Schwachstelle.
2. Meldung – binnen 72 Stunden
Technische Details der Schwachstelle, die Ausnutzungsmethode, ergriffene Korrektur- oder Abhilfemaßnahmen und Hinweise für Nutzer.
3. Abschlussbericht – binnen 14 Tagen
Umfassende Dokumentation, sobald eine Korrektur- oder Abhilfemaßnahme verfügbar ist: Schweregrad und Auswirkung sowie – soweit bekannt – Angaben zu böswilligen Akteuren und zum bereitgestellten Sicherheitsupdate.
CRA Schwachstellenmeldung: zwei Tracks, nicht einer
Hier gehen viele Zusammenfassungen fehl. Artikel 14 kennt zwei getrennte Meldepflichten, und die CRA Schwachstellenmeldung ist nur die erste:
- Aktiv ausgenutzte Schwachstelle – Frühwarnung in 24 Std., Meldung in 72 Std., Abschlussbericht in 14 Tagen.
- Schwerwiegender Sicherheitsvorfall, der die Produktsicherheit betrifft – Frühwarnung in 24 Std., Meldung in 72 Std., Abschlussbericht in einem Monat.
Beide laufen über die ENISA Single Reporting Platform an das zuständige CSIRT und ENISA. „Incident Reporting” als Sammelbegriff zu behandeln ist der häufigste Fehler.
CRA Schwachstellenmeldung heißt auch: Nutzer informieren
Über die Behörden hinaus verlangt die CRA Schwachstellenmeldung, dass Hersteller betroffene Nutzer informieren – idealerweise strukturiert und maschinenlesbar (z. B. CSAF). Unterlässt der Hersteller dies, kann das CSIRT einspringen und Nutzer direkt informieren.
Erleichterung für kleine Unternehmen – und was sich geändert hat
Kleinst- und Kleinunternehmen erhalten eine Erleichterung: Sie sind vor Sanktionen für das Versäumen der 24-Stunden-Frist geschützt – aber nicht von der Pflicht selbst. Zwei Entwicklungen sind erwähnenswert: Die Kommission hat die CRA delegierte Verordnung (EU) 2026/881 angenommen, die regelt, wann CSIRTs die Weitergabe verzögern dürfen, und die Arbeit der EU-Expertengruppe hat inzwischen veröffentlichte CRA-Guidance hervorgebracht, die die zeitlichen Vorgaben in der Praxis klärt.
● Die CRA Schwachstellenmeldung startet am 11. September 2026 – ist Ihr 24-Stunden-Prozess eingeübt?
Bereiten Sie beide Tracks vor – mit unserer CRA Incident Reporting Software, starten Sie mit dem Überblick zum EU Cyber Resilience Act, prüfen Sie die CRA Sanktionen, testen Sie unser kostenloses CRA-Online-Check-Tool, oder buchen Sie eine Demo.
Wie COMPLYD hilft
COMPLYD integriert CRA Schwachstellenmeldung und Vorfallsmeldung in Ihren Produkt-Workflow – mit Coordinated Vulnerability Disclosure, maschinenlesbaren Nutzer-Advisories und vorgefertigten Meldeabläufen –, sodass Ihre 24-Stunden-Frist beim Start der Single Reporting Platform eine Checkliste ist, kein Feuerwehreinsatz.
Häufige Fragen
Welche Schwachstellen müssen nach dem CRA gemeldet werden?
Nur aktiv ausgenutzte Schwachstellen lösen die CRA Schwachstellenmeldung aus – Frühwarnung in 24 Std., Meldung in 72 Std., Abschlussbericht in 14 Tagen – nicht jede bekannte oder theoretisch ausnutzbare.
Wie unterscheidet sich die Vorfallsmeldung?
Ein schwerwiegender Sicherheitsvorfall ist ein eigener Track: 24 Std., 72 Std. und ein Abschlussbericht binnen eines Monats, über dieselbe Single Reporting Platform.
Sind kleine Unternehmen ausgenommen?
Nein. Kleinst- und Kleinunternehmen sind vor Sanktionen für das Versäumen der 24-Stunden-Frist geschützt, bleiben aber an die Meldepflicht selbst gebunden.
Passend zu diesem Beitrag
Im CRA Leitfaden · Schritt 6
Im CRA Leitfaden · Schritt 7
Wo steht dein Produkt beim Cyber Resilience Act?
Erste Einordnung in Minuten – oder direkt die Software ansehen, die aus dem Gesetzestext einen Workflow macht.
Zuletzt aktualisiert am 29. September 2026 · Quellen: Verordnung (EU) 2024/2847 (CRA) — EUR-Lex, ENISA — Single Reporting Platform
Alexander Aigner
Experte für Produktsicherheit, COMPLYD
Experte für Produktsicherheit, der Produkte in zwei stark regulierten Branchen abgesichert hat – Medizin und Automotive. Er hilft Teams, den EU Cyber Resilience Act zu erfüllen, ohne die Entwicklung zu bremsen.