CRA-Meldepflicht: Anatomie einer Meldung, von Stunde 0 bis zum Abschlussbericht

Dienstag, 16:47 Uhr. Im Security-Postfach eines Herstellers vernetzter Steuergeräte liegt eine Mail: Ein Sicherheitsforscher beschreibt eine Schwachstelle in der Firmware, mit Proof of Concept, und verweist auf Angriffe, die er bereits in freier Wildbahn beobachtet hat.

Bis zum 10. September 2026 wäre das ein internes Problem. Ab dem 11. September 2026 ist es ein regulatorisches: Ab diesem Tag greift die Meldepflicht aus Artikel 14 des Cyber Resilience Act, und sie rechnet in Stunden.

Dieser Text geht die Meldung einmal komplett durch, chronologisch: von der ersten verdächtigen Mail bis zum Abschlussbericht. Unterwegs klären wir die Punkte, an denen Meldeprozesse in der Praxis reißen: der Fristbeginn, die parallele Pflicht gegenüber Ihren Nutzern, der Meldeweg über die neue EU-Plattform und die Frage, wer meldet, wenn die Schwachstelle in einer zugekauften Komponente steckt.

Die Rechtslage in vier Sätzen

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist seit dem 10. Dezember 2024 in Kraft und gilt ab dem 11. Dezember 2027 vollständig. Zwei Pflichtenblöcke starten früher: Ab dem 11. Juni 2026 laufen die Regeln zur Notifizierung von Konformitätsbewertungsstellen an, ab dem 11. September 2026 die Meldepflichten der Hersteller nach Artikel 14.

Gemeldet werden zwei Ereignistypen: aktiv ausgenutzte Schwachstellen im Produkt und schwerwiegende Vorfälle, die die Sicherheit des Produkts beeinträchtigen. Empfänger sind gleichzeitig das als Koordinator benannte nationale CSIRT und die ENISA.

Und der Punkt, der die Planung vieler Hersteller kippt: Artikel 69 Absatz 3 erstreckt genau diese Pflicht auf alle Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 auf dem EU-Markt bereitgestellt wurden. Für die Meldepflicht zählt also der Bestand im Markt, unabhängig vom Baujahr.

Stunde 0: Wann die Uhr zu laufen beginnt

Zurück zur Mail von 16:47 Uhr. Läuft die 24-Stunden-Frist jetzt schon?

Noch nicht zwingend. Die Kommission stellt in ihrer CRA-Leitlinie (Entwurfsfassung) klar: Kenntnis im Sinne von Artikel 14 liegt vor, wenn der Hersteller nach einer ersten Bewertung des verdächtigen Ereignisses mit hinreichender Sicherheit von einer aktiven Ausnutzung oder einem schwerwiegenden Vorfall ausgehen kann. Die Frist startet mit dem Ergebnis dieser Erstbewertung; ein bloßer Verdacht genügt dafür noch nicht.

Die Leitlinie schließt zugleich die naheliegende Abkürzung: Die Erstbewertung darf nicht hinausgezögert werden, um den Fristbeginn zu verschieben. Wer die Forscher-Mail 3 Tage liegen lässt, hat die Frist damit bereits gerissen.

Operativ heißt das: Sie brauchen eine benannte Rolle, die Kenntnisnahme feststellen darf, und einen Zeitstempel für diese Entscheidung. Im Streitfall mit einer Marktüberwachungsbehörde ist die dokumentierte Erstbewertung Ihr wichtigstes Beweisstück.

In unserem Szenario bestätigt das Produkt-Security-Team am Mittwochvormittag die Ausnutzung. 10:30 Uhr, Entscheidung dokumentiert. Die Uhr läuft.

Stunde 24: Die Frühwarnung

Bis Donnerstag, 10:30 Uhr, muss die Frühwarnung raus. Sie ist bewusst schlank gehalten: die Grundinformation, dass eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall vorliegt, das betroffene Produkt und, soweit anwendbar, die Mitgliedstaaten, in denen das Produkt nach Kenntnis des Herstellers bereitgestellt wurde.

Dieser letzte Punkt wird gern übersehen und ist ohne Vorbereitung kaum zu leisten: Welche Vertriebsdaten sagen Ihnen binnen eines Vormittags, in welchen EU-Ländern eine bestimmte Produktversion im Feld ist?

Ein Trost für die Prozessgestaltung: Sie melden nur einmal. Die Meldung geht über die zentrale Meldeplattform ein und erreicht CSIRT und ENISA gleichzeitig. Zwei getrennte Meldewege müssen Sie nicht pflegen.

Stunde 72: Die Schwachstellen- bzw. Vorfallsmeldung

Bis Samstagvormittag folgt die zweite Stufe. Sie ergänzt die Frühwarnung um allgemeine Angaben zum Produkt, die Art der Ausnutzung beziehungsweise des Vorfalls, eine erste Einschätzung sowie ergriffene Abhilfe- und Minderungsmaßnahmen.

Zwei Details aus dem Verordnungstext verdienen Aufmerksamkeit. Erstens: Die Meldung soll auch Maßnahmen benennen, die Nutzer selbst ergreifen können. Sie schreiben hier also bereits die Rohfassung Ihrer Kundenkommunikation. Zweitens: Der Hersteller kann angeben, wie sensibel er die gemeldeten Informationen einstuft. Diese Einstufung ist die Grundlage dafür, dass die Weiterverteilung der Meldung in Ausnahmefällen verzögert werden kann (dazu unten mehr).

Parallel läuft eine zweite Uhr: Ihre Nutzer

Artikel 14 endet nicht bei den Behörden, und dieser Teil fehlt in vielen CRA-Projektplänen komplett. Absatz 8 verpflichtet den Hersteller, nach Kenntnisnahme die betroffenen Nutzer zu informieren, bei Bedarf sogar alle Nutzer: über die Schwachstelle oder den Vorfall und über Abhilfe- und Minderungsmaßnahmen, die Nutzer selbst umsetzen können. Wo es passt, soll das in einem strukturierten, maschinenlesbaren Format geschehen.

Die Verordnung hat für säumige Hersteller eine unangenehme Rückfallebene eingebaut: Informieren Sie Ihre Nutzer nicht rechtzeitig, kann das benachrichtigte CSIRT das übernehmen. Dann erfahren Ihre Kunden von der Schwachstelle in Ihrem Produkt von einer Behörde statt von Ihnen.

Praktisch bedeutet Absatz 8: vorbereitete Advisory-Vorlagen, ein Veröffentlichungsort, den Kunden kennen, und die Fähigkeit, Betroffenheit versionsgenau zu benennen. Wer erst im Ernstfall überlegt, wie ein Security Advisory bei ihm aussieht, verliert genau die Stunden, die Artikel 14 nicht hergibt.

Tag 14 oder Monat 1: Der Abschlussbericht

Die beiden Auslöser trennen sich am Ende der Kaskade. Bei einer aktiv ausgenutzten Schwachstelle ist der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfe- oder Minderungsmaßnahme fällig: Beschreibung der Schwachstelle mit Schweregrad und Auswirkungen, Angaben zu ausnutzenden Akteuren (soweit verfügbar) und Details zum Sicherheitsupdate.

Beim schwerwiegenden Vorfall bleibt 1 Monat ab der 72-Stunden-Meldung, dafür mit mehr Substanz: detaillierte Vorfallsbeschreibung, die Art der Bedrohung oder die wahrscheinliche Ursache und die laufenden wie abgeschlossenen Gegenmaßnahmen. Die längere Frist erkauft die Ursachenanalyse.

Dazwischen ist die Behörde nicht stumm: Das koordinierende CSIRT kann Zwischenberichte zum Stand anfordern. Ihr Prozess muss deshalb über die 3 Meldestufen hinaus jederzeit auskunftsfähig sein.

Der Meldeweg: eine Plattform, ein Endpunkt, klare Zuständigkeit

Technisch laufen alle Meldungen über die zentrale Meldeplattform (Single Reporting Platform), die die ENISA nach Artikel 16 aufbaut. Sie soll zum 11. September 2026 einsatzbereit sein, mit einer Testphase davor. Warten sollten Sie darauf trotzdem nicht: Die Pflicht gilt ab dem Stichtag, und Ihr interner Prozess (Triage, Entscheidung, Inhalte, Freigaben) ist plattformunabhängig.

Zuständig ist der Meldeendpunkt des CSIRT in dem Mitgliedstaat, in dem Ihr Unternehmen seine Hauptniederlassung in der EU hat. Für Hersteller ohne EU-Niederlassung definiert Artikel 14 Absatz 7 eine Kaskade: zuerst der Mitgliedstaat des Bevollmächtigten, dann des Importeurs, dann des Händlers, zuletzt der Staat mit den meisten Nutzern. Exportierende Hersteller außerhalb der EU sollten diese Zuordnung vor dem Ernstfall klären, nicht währenddessen.

Nach Eingang verteilt das erstempfangende CSIRT die Meldung über die Plattform an die CSIRTs der Mitgliedstaaten, in denen das Produkt bereitgestellt wurde, und versorgt die Marktüberwachungsbehörden mit den nötigen Informationen. In Ausnahmefällen, etwa bei laufender koordinierter Offenlegung oder besonderer Sensibilität, kann diese Weiterverteilung aus begründeten Cybersicherheitserwägungen befristet zurückgehalten werden. Eine Meldung setzt also ein europäisches Verteilsystem in Gang und bleibt in keinem einzelnen Postfach liegen.

Die Schwachstelle steckt in einer Komponente: Wer meldet?

Moderne Produkte bestehen zum Großteil aus Fremdcode. Steckt die aktiv ausgenutzte Schwachstelle in einer integrierten Komponente, bleibt der Produkthersteller meldepflichtig; wurde die Komponente separat auf dem Markt bereitgestellt, trifft deren Hersteller eine eigene Meldepflicht. Die Verordnung erwartet zudem, dass Hersteller festgestellte Schwachstellen an den Verantwortlichen der Komponente zurückmelden.

Beantworten lässt sich die Frage „Sind wir betroffen?" nur mit sauberen Stücklisten. Die Software Bill of Materials (SBOM), die Anhang I Teil II ohnehin verlangt, ist damit auch das Rückgrat Ihrer Meldefähigkeit: Ohne maschinenlesbares Wissen, welche Komponente in welcher Produktversion steckt, wird schon die 72-Stunden-Meldung zur Recherchearbeit.

Was ein Versäumnis kostet

Artikel 64 Absatz 2 stellt Verstöße gegen die Artikel 13 und 14 unter Geldbußen von bis zu 15 Millionen Euro oder, bei Unternehmen, bis zu 2,5 Prozent des weltweiten Jahresumsatzes des Vorjahres; maßgeblich ist der höhere Betrag. Die Meldepflicht rangiert damit im obersten Bußgeldrahmen der Verordnung, auf einer Stufe mit Verstößen gegen die grundlegenden Cybersicherheitsanforderungen aus Anhang I.

Für kleinere Unternehmen federt die Verordnung ab: Kleinst- und kleine Unternehmen im Sinne der Empfehlung 2003/361/EG werden für ein Verpassen der 24-Stunden-Frühwarnung nicht mit Bußgeldern belegt, die Unternehmensgröße fließt in jede Bußgeldbemessung ein, und Open-Source-Stewards bleiben von Geldbußen ganz ausgenommen. Die Meldepflicht selbst gilt trotzdem für alle. Wer unsicher ist, darf das eigene CSIRT direkt fragen: Die Verordnung verpflichtet die nationalen CSIRTs, Hersteller, insbesondere KMU, bei den Meldepflichten zu unterstützen.

Warum der 11. Dezember 2027 Ihnen hier nicht hilft

Die Pflichten rund um koordinierte Offenlegung aus Anhang I Teil II (CVD-Policy, Kontaktadresse für Schwachstellenmeldungen, zentrale Anlaufstelle für Nutzer) werden erst mit der vollen Anwendbarkeit am 11. Dezember 2027 rechtlich bindend. Verlassen sollten Sie sich auf diesen Puffer nicht.

Der Grund steht weiter oben: Kenntnisnahme ist der Auslöser der 24-Stunden-Frist, und externe Hinweise von Forschern, Kunden oder CSIRTs sind einer der häufigsten Wege, auf denen Kenntnis entsteht. Ein Hersteller ohne funktionierenden Meldekanal installiert den Rauchmelder erst nach dem Brand: Die Frist beginnt trotzdem zu laufen, nur eben unbemerkt. Ein veröffentlichter Meldeweg (etwa eine security.txt nach RFC 9116 plus überwachtes Security-Postfach) gehört deshalb zu den ersten Arbeitspaketen, nicht zu den letzten.

Drei Fähigkeiten, an denen sich Ihre Meldefähigkeit entscheidet

Aus der Chronologie oben lassen sich die Anforderungen zu 3 Fähigkeiten verdichten. An ihnen können Sie den eigenen Reifegrad ehrlich messen.

Portfoliotransparenz. Sie wissen jederzeit, welche Produkte und Versionen mit digitalen Elementen im EU-Markt sind, in welchen Mitgliedstaaten, mit welchen Komponenten (SBOM) und welchem Risikoprofil. Ohne diese Datenbasis scheitert bereits die Frühwarnung an der Angabe der betroffenen Länder.

Ein offener, überwachter Eingang. Es gibt genau einen dokumentierten Weg, auf dem Schwachstellenhinweise Sie erreichen, intern wie extern, mit klarer Eigentümerschaft für die Triage. Veröffentlicht, verlinkt, besetzt.

Ein geübter Entscheidungsweg. Eine benannte Rolle stellt Kenntnisnahme fest, die Freigabekette bis zur Meldung ist definiert, und das Ganze wurde unter realistischen Bedingungen geprobt: mit unvollständigen Informationen, zu einem bewusst ungünstigen Zeitpunkt, mit Vertretungsregelung. Papierprozesse, die nie gelaufen sind, brechen im Ernstfall zuerst.

Wo itemis unterstützt

Der schnellste Einstieg ist die Betroffenheitsfrage: Der kostenlose Online-Betroffenheitscheck der CRA Interest Group (CRAIG) zeigt Ihnen, ob und wie Ihre Produkte unter den CRA fallen. CRAIG ist eine gemeinnützige Initiative mit dem Ziel, CRA-Umsetzung gerade für KMU zugänglich zu machen; itemis ist strategischer Sponsor, und mit Dirk Leopold stellt itemis den Vorsitzenden.

Für die technische Seite der Vorbereitung gibt es itemis SECURE: modellbasierte Threat- und Risikoanalysen (TARA) nach ISO/SAE 21434, IEC 62443 und CRA, mit KI-Unterstützung bei Bedrohungsanalyse und Angriffsbaum-Erstellung und mit auditfertiger Dokumentation. Das Ergebnis ist ein lebendes Risikomodell Ihrer Produkte, und genau das beschleunigt im Meldefall die Erstbewertung: Wer seine Angriffsflächen pro Produkt und Version kennt, entscheidet die Frage der Kenntnisnahme in Stunden statt in Tagen.

Eine ehrliche Einordnung zum Schluss: Wer im Sommer 2026 noch bei null steht, für den wird der September eng. Machbar bleibt es, wenn Sie die 3 Fähigkeiten oben in dieser Reihenfolge angehen und den ersten Probelauf nicht auf den 10. September legen.

Häufige Fragen zur CRA-Meldepflicht

Muss ich neben den Behörden auch meine Nutzer informieren? Ja. Artikel 14 Absatz 8 verpflichtet Hersteller, nach Kenntnisnahme die betroffenen Nutzer (bei Bedarf alle Nutzer) über die Schwachstelle oder den Vorfall und über mögliche Gegenmaßnahmen zu informieren, wo passend in maschinenlesbarem Format. Unterbleibt das, kann das koordinierende CSIRT die Nutzer selbst informieren.

Mein Unternehmen hat keine Niederlassung in der EU. An welches CSIRT melde ich? Artikel 14 Absatz 7 legt eine Reihenfolge fest: der Mitgliedstaat des Bevollmächtigten, ersatzweise des Importeurs, dann des Händlers, zuletzt der Mitgliedstaat mit den meisten Nutzern Ihrer Produkte. Die Zuordnung sollte vor dem ersten Meldefall geklärt und dokumentiert sein.

Die Schwachstelle steckt in einer zugekauften Komponente. Wer meldet? Der Hersteller des Endprodukts meldet die aktiv ausgenutzte Schwachstelle in seinem Produkt. Wurde die Komponente separat auf dem Markt bereitgestellt, ist ihr Hersteller zusätzlich selbst meldepflichtig. Festgestellte Komponenten-Schwachstellen sind zudem an den Verantwortlichen der Komponente zurückzumelden.

Gibt es die Meldeplattform schon? Die ENISA baut die zentrale Meldeplattform nach Artikel 16 auf; sie soll zum 11. September 2026 einsatzbereit sein, mit vorgelagerter Testphase. Ihre internen Abläufe (Triage, Kenntnisnahme-Entscheidung, Inhalte der 3 Meldestufen, Freigaben) sollten Sie unabhängig davon jetzt aufbauen.

Kann eine Meldung vertraulich behandelt werden? Der Hersteller kann in der Meldung die Sensibilität der Informationen kennzeichnen. In Ausnahmefällen, etwa während einer laufenden koordinierten Offenlegung, kann die Weiterverteilung an andere CSIRTs aus begründeten Cybersicherheitserwägungen befristet zurückgestellt werden. Der Regelfall bleibt die zügige Verteilung an die betroffenen Mitgliedstaaten; einen Anspruch auf Geheimhaltung begründet die Kennzeichnung nicht.

Was passiert nach meiner Meldung? Das erstempfangende CSIRT verteilt die Meldung an die CSIRTs der Mitgliedstaaten, in denen das Produkt bereitgestellt wurde, und informiert die Marktüberwachungsbehörden. Bis der Abschlussbericht vorliegt, kann das koordinierende CSIRT Zwischenberichte zum Bearbeitungsstand anfordern.

Löst jede bekannte Schwachstelle die Meldepflicht aus? Nein. Meldepflichtig nach Artikel 14 sind aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle mit Auswirkung auf die Produktsicherheit. Eine bekannte, aber nicht ausgenutzte Schwachstelle fällt unter die allgemeinen Pflichten zur Schwachstellenbehandlung (etwa Behebung per Sicherheitsupdate), startet aber keine 24-Stunden-Frist.

Quellen: Verordnung (EU) 2024/2847 (Cyber Resilience Act), insbesondere Artikel 14, 15, 16, 64 und 69 (EUR-Lex); Europäische Kommission, „Cyber Resilience Act: Reporting obligations" und CRA-Zusammenfassung (digital-strategy.ec.europa.eu); CRA-Leitlinie der Kommission (Entwurfsfassung) zur Auslegung der Kenntnisnahme.

EU Cyber Resilience Act bei itemis — Fristen, Betroffenheit und der Weg zur Konformität mit itemis SECURE und der CRAIG-Community: EU Cyber Resilience Act →