Cyber Resilience Act: Meldepflichten ab 11. September 2026

Ein Softwareunternehmen erfährt, dass eine Schwachstelle in seinem Produkt bereits bei tatsächlichen Angriffen ausgenutzt wird. Ab dem 11. September 2026 beschränkt sich die Reaktion nicht auf die Bereitstellung eines Sicherheitsupdates, sofern Produkt und Unternehmen unter den Cyber Resilience Act fallen: Es wird ein bestimmtes Meldeverfahren erforderlich. Die erste Höchstfrist beträgt 24 Stunden ab Kenntnis der aktiven Ausnutzung.

Für ein griechisches Unternehmen, das Anwendungen entwickelt oder vernetzte Geräte bereitstellt, stellen sich praktische Fragen: Wer erkennt das Ereignis, wer wird intern informiert und wer reicht die Meldung rechtzeitig ein?

Was im September beginnt und was erst 2027 gilt

Der CRA ist die Verordnung (EU) 2024/2847 und gilt unmittelbar in den Mitgliedstaaten, somit auch in Griechenland. Seine wesentlichen Produktanforderungen gelten grundsätzlich ab dem 11. Dezember 2027. Die Meldepflichten der Hersteller nach Artikel 14 beginnen jedoch bereits am 11. September 2026.

Die Übergangszeit bis zur vollständigen Einhaltung der Anforderungen erlaubt es nicht, die Vorbereitung auf Meldungen aufzuschieben. Die Kommission unterscheidet beide Termine ausdrücklich in ihrer offiziellen Darstellung des CRA.

Welche Produkte und Unternehmen betroffen sind

Der CRA erfasst Software- und Hardwareprodukte, die auf dem EU-Markt bereitgestellt werden und deren Nutzung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz vorsieht. Dazu können eine mobile App, ein installiertes Programm, ein vernetztes Gerät oder eine separat verkaufte Komponente gehören. Hersteller kann auch sein, wer die Entwicklung beauftragt und das Produkt unter dem eigenen Namen oder der eigenen Marke in Verkehr bringt.

Die bloße Nutzung eines Programms macht ein Unternehmen nicht zum Hersteller. Ebenso fällt eine reine Informationswebsite oder eine ausschließlich im Browser ausgeführte Anwendung, die keine Funktion eines erfassten Produkts unterstützt, nicht automatisch unter den CRA. Dagegen kann eine erforderliche Datenfernverarbeitung unter der Verantwortung des Herstellers Teil des Produkts sein.

Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit bereitgestellt wird, ist vom Anwendungsbereich des CRA ausgenommen. Dies befreit nicht automatisch sämtliche Produkte mit quelloffenen Komponenten. Die Bezeichnung „kostenlos“ allein reicht nicht: Zu prüfen sind die Art der Bereitstellung und die wirtschaftliche Nutzung. Für Open-Source-Software-Stewards besteht ein gesondertes Regelwerk mit entsprechenden Pflichten ab dem 11. Dezember 2027. Daneben gibt es sektorspezifische Ausnahmen, etwa für Produkte, die bestimmten EU-Vorschriften für Medizinprodukte unterliegen. Die Leitlinien der Kommission vom 27. Juli 2026 unterstützen die Bewertung im Einzelfall.

Wann eine Pflicht zur Meldung entsteht

Artikel 14 erfasst zwei Kategorien:

• Aktiv ausgenutzte Schwachstelle: Es liegen zuverlässige Belege vor, dass ein böswilliger Akteur die Schwachstelle ohne Erlaubnis des Systemeigentümers ausgenutzt hat.
• Schwerwiegender Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit: Die Kriterien des Artikels 14 Absatz 5 sind erfüllt, etwa eine tatsächliche oder mögliche Beeinträchtigung des Schutzes wichtiger Daten oder Funktionen oder die Möglichkeit, Schadcode einzuschleusen oder auszuführen.

Ein gewöhnlicher Funktionsfehler oder die theoretische Möglichkeit eines Angriffs genügt für sich genommen nicht, um eine aktive Ausnutzung anzunehmen. Erforderlich sind eine technische Bewertung und die Dokumentation der Belege. Die Kriterien stehen in den Artikeln 3 und 14 der Verordnung.

Die Fristen von 24 Stunden, 72 Stunden und für den Abschlussbericht

Die ersten beiden Meldungen erfolgen unverzüglich, spätestens innerhalb der nachstehenden Höchstfristen. Die 72 Stunden laufen ab demselben Zeitpunkt der Kenntnis und nicht ab der vorherigen Meldung.

Die Frist für den Abschlussbericht hat somit in den beiden Kategorien einen unterschiedlichen Ausgangspunkt. Die 72-Stunden-Meldung enthält die verfügbaren Informationen und Gegenmaßnahmen; sie setzt nicht voraus, dass sämtliche technischen Untersuchungen abgeschlossen sind. Siehe die Zusammenfassung der Kommission zu den Meldepflichten.

Ein Beispiel zur klaren Zuordnung der Termine

Angenommen, der Hersteller einer erfassten Anwendung erlangt am Montag, dem 14. September 2026, um 10:00 Uhr Kenntnis von einer aktiven Ausnutzung. Die Frühwarnung muss spätestens am 15. September um 10:00 Uhr eingereicht werden. Die entsprechende Höchstfrist für die 72-Stunden-Meldung endet am 17. September um 10:00 Uhr.

Wird die erste Maßnahme zur Behebung der Schwachstelle oder zur Risikominderung am 18. September verfügbar, muss der Abschlussbericht spätestens am 2. Oktober eingereicht werden. Das Unternehmen wartet mit den ersten Meldungen nicht, bis die Korrektur bereitsteht.

Das Beispiel betrifft eine Schwachstelle. Bei einem schwerwiegenden Sicherheitsvorfall läuft der Monat für den Abschlussbericht ab Einreichung der Meldung auf der 72-Stunden-Stufe. Die Beispieldaten sind hypothetisch und beziehen sich auf dieselbe Zeitzone.

Wo gemeldet wird und welche Vorbereitung nötig ist

Das Verfahren läuft über die einheitliche CRA-Meldeplattform, die Single Reporting Platform — SRP. Empfänger sind nach den Regeln der Verordnung das zuständige koordinierende CSIRT und die ENISA. In ihren Hinweisen vom 8. September nennt die ENISA den 11. September 2026 als geplanten Betriebsbeginn. Daraus folgt nicht, dass die Plattform bereits für reguläre Einreichungen verfügbar ist.

Für Hersteller umfasst eine praktische Bereitschaftsprüfung:

1. Ein Produktverzeichnis: Versionen, Verantwortliche, kritische Komponenten und Absatzmärkte.
2. Einen klaren Meldeweg: Wer nimmt Hinweise von Kunden oder Forschern entgegen und wer bewertet sie sofort?
3. Eine verantwortliche Person und eine Vertretung: Zuständigkeit für Einreichungen, verfügbare Kontaktdaten und Vorbereitung eines persönlichen Kontos bei EU Login mit Mehrfaktor-Authentifizierung.
4. Eine Ereignisakte: Zeitpunkt der Kenntnis, technische Belege, Entscheidungen, Einreichungen und Verfügbarkeit von Maßnahmen.
5. Vorbereitete Nutzerinformationen: Welche Version ist betroffen und welche konkreten Schritte können Nutzer unternehmen?
6. Eine Übung mit einem hypothetischen Ereignis: Prüfen, ob die interne Abstimmung innerhalb der gesetzlichen Fristen gelingt.

Dies ist ein praktischer Organisationsvorschlag. Die ENISA empfiehlt, die Herstellerregistrierung in der SRP zu beginnen, wenn eine Meldung eingereicht werden muss; das Konto der vertretenden Person bei EU Login sollte bereits aktiv sein. Einzelheiten sind anhand der aktuellen offiziellen Plattformhinweise zu prüfen.

Warum DSGVO und NIS2 getrennt geprüft werden müssen

Eine CRA-Meldung darf nicht als automatische Erfüllung jeder anderen Pflicht verstanden werden. Die DSGVO betrifft Verletzungen des Schutzes personenbezogener Daten. Artikel 33 sieht für den Verantwortlichen, soweit erforderlich, eine Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vor. Eine Ausnahme gilt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Siehe den Leitfaden des Europäischen Datenschutzausschusses.

NIS2 betrifft bestimmte Kategorien von Einrichtungen und erhebliche Sicherheitsvorfälle mit Auswirkungen auf ihre Dienste. Ob das einschlägige nationale Regelwerk anwendbar ist, muss gesondert geprüft werden. Ein Ereignis kann mehrere Bewertungen und Meldungen mit unterschiedlichen Empfängern und Inhalten erfordern. Die Kommission erläutert den Anwendungsbereich auf der offiziellen NIS2-Seite.

Kurze Antworten auf häufige Fragen

Sind bereits vermarktete Produkte betroffen?

Ja. Die Meldepflichten erfassen auch Produkte im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Eine frühere Markteinführung allein begründet keine Ausnahme.

Muss jede alte Schwachstelle rückwirkend gemeldet werden?

Die ENISA erläutert, dass keine rückwirkende Meldepflicht für aktive Ausnutzungen besteht, von denen der Hersteller bereits vor dem 11. September 2026 wusste. Maßgeblich ist der Zeitpunkt der Kenntnis, nicht allein das Alter des Fehlers.

Reicht die Information der Behörden aus?

Artikel 14 Absatz 8 sieht auch die Information betroffener Nutzer einschließlich der erforderlichen Maßnahmen zur Risikominderung vor. Ein technischer Bericht an die Behörden und eine verständliche Nutzeranleitung erfüllen unterschiedliche Aufgaben.

Für Übergangsfälle siehe die Antworten der ENISA sowie die Artikel 14, 69 und 71 des CRA.

Redaktionsteam von Nomika Epilekta
Offizielle Quellen geprüft am 9. September 2026.

Dieser Artikel wurde mit Unterstützung künstlicher Intelligenz und durch Abgleich der angeführten amtlichen Quellen erstellt. Er enthält allgemeine rechtliche Informationen und ersetzt keine Prüfung eines konkreten Falls. Quellenprüfung: 9. September 2026.