CRA-Meldepflichten ab 11. September 2026 · Stand 11. August 2026
Cyber Resilience Act: Sind 24 Stunden schon gestartet?
Der CRA-Clock-Check trennt Hersteller, gewöhnliche Einführer/Händler und Hersteller-equivalente Rollen. Er ordnet aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle ein, berechnet 24-Stunden- und 72-Stunden-Orientierungen und zeigt die nächste belastbare Vorbereitung.
CRA Incident Clock
Die Uhr startet bei Kenntnis – nicht erst bei vollständiger Gewissheit.
Frühwarnung und Hauptmeldung sind gestufte Meldungen. Der erste Datensatz darf unvollständig sein; er muss aber die richtige Rolle, den richtigen Ereignistyp und den richtigen Meldeweg auslösen.
Uhrzeit eintragenKurzantwort
Artikel 14 der Cyberresilienz-Verordnung gilt ab dem 11. September 2026. Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die CRA-Single-Reporting-Plattform: Frühwarnung spätestens nach 24 Stunden, Hauptmeldung spätestens nach 72 Stunden. Ein normaler Einführer oder Händler meldet nicht automatisch selbst nach diesem Takt; bei eigener Marke oder wesentlicher Änderung kann er aber als Hersteller gelten.
CRA-Rolle, Meldeuhr und Incident-Dokumentation
Aus einer technischen Warnung eine belastbare Prüfspur machen.
Kostenlos starten · DSGVO-konform · Keine Kreditkarte
CRA-Clock-Check: Rolle, Ereignis und Uhrzeit
Der Check gibt keine Meldung ab. Er berechnet Fristen auf Basis Ihrer Eingaben und markiert, welche Tatsachen und Zuständigkeiten vor einer Freigabe geklärt werden müssen.
Orientierung für: Hersteller des Produkts
Produkt-Anwendungsbereich zuerst klären
- Ob das konkrete Produkt als Produkt mit digitalen Elementen erfasst oder nach Artikel 2 CRA ausgenommen ist, wurde noch nicht bestätigt.
- Als Hersteller sind Sie der primäre Adressat von Artikel 14 CRA.
Fristübersicht noch nicht verfügbar
Vervollständigen Sie Produktbezug, Rolle, Ereignistyp und Kenntniszeitpunkt. Sobald die Voraussetzungen stimmen, erscheinen hier die gesetzlichen 24h- und 72h-Zeitpunkte.
Nächste sinnvolle Schritte
- Produktfunktion, Bereitstellungsmodell und mögliche sektorale Ausnahme am Originaltext prüfen.
- Mitgliedstaaten, in denen das Produkt bereitgestellt wurde, und den Mitgliedstaat der EU-Hauptniederlassung in der Akte festhalten.
- Die Eingaben sind nur eine Arbeitsorientierung. Eine Meldung ist erst nach Prüfung, Freigabe und tatsächlicher Übermittlung über die zuständige Plattform erfolgt.
Wichtig: Der Checker beweist weder die Einstufung als aktiv ausgenutzte Schwachstelle noch die Schwere eines Vorfalls. Eine Farbe und ein berechnetes Datum ersetzen keine Incident-Response-, Produkt- und Rechtsprüfung.
Wer die 24h/72h-Uhr wirklich trägt
Die Meldepflicht hängt nicht allein davon ab, wer den Fehler zuerst entdeckt. Entscheidend sind Rolle, Marke, wesentliche Änderung und der konkrete Produktbezug.
| Rolle | Rechtsanker | Prüfpunkt |
|---|---|---|
| Hersteller | Artikel 14 Abs. 1 bis 8 CRA | Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die SRP an das koordinierende CSIRT und gleichzeitig an ENISA melden. |
| Einführer / Händler | Artikel 19 und 20 CRA | Schwachstelle unverzüglich an den Hersteller weitergeben; bei erheblichem Cybersicherheitsrisiko zusätzlich die zuständigen Marktüberwachungsbehörden informieren. Die 24h/72h-Meldung nach Artikel 14 trifft sie nicht automatisch. |
| Hersteller-equivalent | Artikel 21 und 22 CRA | Eigene Marke, wesentliche Änderung oder Bereitstellung nach wesentlicher Änderung macht den Akteur für die betroffenen Teile zum Hersteller. Dann gelten Artikel 13 und 14 – gegebenenfalls nur für den geänderten Teil. |
| Open-Source-Verwalter | Artikel 24 Abs. 3 CRA | Artikel 14 Abs. 1 kann bei Beteiligung an der Produktentwicklung greifen; Artikel 14 Abs. 3 und 8 knüpfen an schwerwiegende Vorfälle in den für die Entwicklung bereitgestellten Systemen an. |
Auf kleinen Bildschirmen bleibt die Rollen-Spalte beim horizontalen Scrollen sichtbar. „Hersteller-equivalent“ ist keine freie Selbstbezeichnung, sondern eine Rechtsfolge aus Marke oder wesentlicher Änderung.
Zwei Ereignisse, zwei Abschlussfristen
Aktiv ausgenutzte Schwachstelle
Die 24h-Frühwarnung nennt unter anderem bekannte Bereitstellungsstaaten. Nach 72 Stunden folgen allgemeine Produkt-/Schwachstelleninformationen und Maßnahmen. Der Abschlussbericht wird spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme fällig.
Nicht jede gemeldete Schwachstelle ist bereits „aktiv ausgenutzt“.
Schwerwiegender Sicherheitsvorfall
Die 24h-Frühwarnung muss den Verdacht einer rechtswidrigen oder böswilligen Handlung adressieren. Die 72h-Meldung enthält eine erste Bewertung und Gegenmaßnahmen. Der Abschlussbericht folgt innerhalb eines Monats nach der Hauptmeldung.
Die Schwere muss an Daten/Funktionen oder schädlichem Code festgemacht werden.
Was vor dem 11. September 2026 stehen sollte
Rollenregister
Marke, Importeur, Vertrieb, wesentliche Änderungen und Zuständigkeit für die Cybersicherheitsentscheidungen festhalten.
Kenntniszeitpunkt
Einheitliche Uhrzeitquelle, On-Call-Eskalation und unveränderbare Incident-Timeline für erste Hinweise einrichten.
Produktlandkarte
Versionen, Produktkennungen, Nutzerkontakt und Mitgliedstaaten der Bereitstellung aus dem Produktregister abrufen können.
Meldepaket
Vorlagen für Frühwarnung, 72h-Hauptmeldung, Maßnahmen und sensible Informationen mit Freigabeweg vorbereiten.
SRP-Zugang
Verantwortliche Personen, koordinierendes CSIRT und ENISA-SRP-Prozess anhand der aktuellen ENISA-Anleitung testen.
Nutzerinformation
Korrektur- und Risikominderungsmaßnahmen so formulieren, dass betroffene Nutzer sie rechtzeitig verstehen und umsetzen können.
Incident-Vorbereitungsnotiz kopieren
Diese Notiz sammelt die Informationen, die Incident Response, Product Security und Legal vor einer CRA-Meldung abgleichen sollten. Sie überträgt nichts und meldet nichts automatisch.
CRA-Vorbereitungsnotiz – noch keine Meldung Auswahl im Checker: Hersteller des Produkts · aktiv ausgenutzte Schwachstelle Rolle: [Hersteller / Einführer / Händler / Hersteller-equivalent / Open-Source-Verwalter] Unternehmen und Ansprechperson: [Name, zentrale Kontaktstelle] Produkt mit digitalen Elementen: [Name, Version, Serien-/Produktkennung] Bereitstellung: [Mitgliedstaaten und seit wann auf dem Unionsmarkt] Ereignis: [aktiv ausgenutzte Schwachstelle / schwerwiegender Sicherheitsvorfall / noch unklar] Kenntniszeitpunkt: [Datum und Uhrzeit, Zeitzone] Erste belastbare Hinweise: [Log, Meldung, CVE/EUVD, Monitoring, Kunde] Betroffene Daten oder Funktionen: [Verfügbarkeit, Authentizität, Integrität, Vertraulichkeit] Vermutete rechtswidrige oder böswillige Handlung: [ja / nein / unklar] Sofortmaßnahmen: [Isolation, Mitigation, Patch, Nutzerinformation] Zuständiges koordinierendes CSIRT: [Mitgliedstaat der EU-Hauptniederlassung bzw. CRA-SRP-Auswahl prüfen] Orientierung: Frühwarnung spätestens 24 Stunden, Hauptmeldung spätestens 72 Stunden ab Kenntnis. Das Dokument ist eine interne Vorbereitung und keine Bestätigung einer eingereichten Meldung.
Ihre CRA-Situation weiter strukturieren
Übernehmen Sie Rolle, Kenntniszeitpunkt, Produktstaaten und die technische Bewertung aus dem Clock-Check. Specter hilft, offene Fragen zu sortieren – die Einstufung, Meldung und Freigabe bleiben in Ihrer Verantwortung.
Häufige Fragen zur CRA-Meldepflicht
Ab wann gilt die CRA-Meldepflicht für 24 Stunden und 72 Stunden?
Artikel 14 der Verordnung (EU) 2024/2847 gilt ab dem 11. September 2026. Die übrigen zentralen CRA-Regeln gelten grundsätzlich ab dem 11. Dezember 2027. Die Meldepflichten erfassen nach der Übergangsregel auch Produkte mit digitalen Elementen, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Wer muss nach dem Cyber Resilience Act melden?
Primär melden Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die CRA-Single-Reporting-Plattform an das koordinierende CSIRT und gleichzeitig an ENISA. Einführer und Händler werden bei eigener Marke oder wesentlicher Änderung wie Hersteller behandelt; sonst haben sie eigene Informations- und Kooperationspflichten, aber nicht automatisch die Artikel-14-24h/72h-Meldung.
Was ist eine aktiv ausgenutzte Schwachstelle?
Die CRA verlangt verlässliche Nachweise, dass ein böswilliger Akteur die Schwachstelle in einem System ohne Zustimmung des Systemeigners ausgenutzt hat. Ein bloßer Verdacht oder eine noch nicht bestätigte Schwachstelle sollte deshalb als unklare Einstufung dokumentiert und technisch bewertet werden.
Wann ist ein Sicherheitsvorfall schwerwiegend?
Ein Sicherheitsvorfall ist für Artikel 14 Abs. 3 und 5 CRA schwerwiegend, wenn er die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten/Funktionen zu schützen, oder wenn er schädlichen Code eingeführt oder ausgeführt hat bzw. dazu führen kann.
Was muss in 24 Stunden gemeldet werden?
Die Frühwarnung muss innerhalb von 24 Stunden ab Kenntnis erfolgen. Bei einer aktiv ausgenutzten Schwachstelle sind insbesondere die Mitgliedstaaten anzugeben, in denen das Produkt nach Kenntnis bereitgestellt wurde. Bei einem schwerwiegenden Vorfall ist zumindest anzugeben, ob eine rechtswidrige oder böswillige Handlung vermutet wird; weitere Angaben können je nach Fall erforderlich sein.
Was gehört in die 72-Stunden-Meldung?
Bei der Schwachstelle verlangt Artikel 14 Abs. 2 Buchst. b allgemeine Informationen zum Produkt, zur Ausnutzungsart und zur Schwachstelle sowie ergriffene und für Nutzer mögliche Korrektur- oder Risikominderungsmaßnahmen. Beim Vorfall verlangt Artikel 14 Abs. 4 Buchst. b allgemeine Informationen, eine erste Bewertung und die Gegenmaßnahmen.
Welche Folgefrist gilt nach der 72-Stunden-Meldung?
Bei einer aktiv ausgenutzten Schwachstelle ist ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme einzureichen. Bei einem schwerwiegenden Sicherheitsvorfall ist der Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Meldung fällig. Ein Datum aus diesem Checker ist nur eine Planungshilfe.
Meldet ein deutscher Einführer direkt an ENISA?
Nicht allein deshalb, weil er Einführer ist. Nach Artikel 19 Abs. 5 CRA informiert der Einführer den Hersteller unverzüglich über eine Schwachstelle; bei erheblichem Cybersicherheitsrisiko informiert er zusätzlich die betroffenen Marktüberwachungsbehörden. Bringt er das Produkt unter eigener Marke in Verkehr oder nimmt er eine wesentliche Änderung vor, gilt er nach Artikel 21 als Hersteller und Artikel 14 wird relevant.
Ist das Kopieren der Notiz schon eine CRA-Meldung?
Nein. Die Notiz sammelt Informationen für Incident Response, Rechtsprüfung und eine mögliche spätere Meldung. Der Checker überträgt nichts an ENISA, ein CSIRT oder eine Behörde und bestätigt keine erfolgreiche Einreichung.
Keine Rechtsberatung: Diese Seite bietet eine orientierende Prüfung nach dem Rechtsstand vom 11. August 2026. Die Fristen und Rollen hängen von Produkt, Marktbereitstellung, Kenntnisquelle, technischer Bewertung und tatsächlicher Meldung ab. Der Check ersetzt weder Incident-Response-Fachleute noch die Prüfung durch eine im CRA-/IT-Recht erfahrene Beratung oder Behörde. Die Vorbereitungsnotiz ist keine Meldung und bestätigt keine Einreichung.
