CRA Art. 14 – Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (24h/72h/14 Tage, ab 11.09.2026)
Kurzantwort
Artikel 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) gilt ab dem 11. September 2026 (Art. 71 Abs. 2 Unterabs. 2 CRA). Ab diesem Tag muss ein Hersteller jede aktiv ausgenutzte Schwachstelle in seinem Produkt mit digitalen Elementen und jeden schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt, gleichzeitig dem als Koordinator benannten CSIRT und der ENISA melden – über die von der ENISA nach Art. 16 CRA eingerichtete einheitliche Meldeplattform (Single Reporting Platform, SRP). Die Meldung ist dreistufig: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht – bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, bei schwerwiegenden Sicherheitsvorfällen innerhalb eines Monats nach der 72-Stunden-Meldung (Art. 14 Abs. 2 und 4 CRA). Verstöße gegen Art. 14 können nach Art. 64 Abs. 2 CRA mit Geldbußen von bis zu 15 000 000 EUR oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Kernfakten
| Punkt | Wert |
|---|---|
| Rechtsgrundlage | Art. 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act) [EUR-Lex, CELEX:32024R2847] |
| Geltungsbeginn Art. 14 | 11. September 2026 [Art. 71 Abs. 2 Unterabs. 2 CRA] |
| Geltungsbeginn übrige Verordnung | 11. Dezember 2027 [Art. 71 Abs. 2 Unterabs. 1 CRA] |
| Meldepflichtig | Hersteller von Produkten mit digitalen Elementen [Art. 14 Abs. 1 und 3 CRA]; Verwalter quelloffener Software nach Maßgabe von [Art. 24 Abs. 3 CRA] |
| Meldeanlass 1 | jede aktiv ausgenutzte Schwachstelle, die im Produkt enthalten ist und von der der Hersteller Kenntnis erlangt [Art. 14 Abs. 1 CRA] |
| Meldeanlass 2 | jeder schwerwiegende Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt [Art. 14 Abs. 3 CRA] |
| Definition „aktiv ausgenutzte Schwachstelle" | „eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat" [Art. 3 Nr. 42 CRA] |
| Empfänger | gleichzeitig das gemäß Art. 14 Abs. 7 als Koordinator benannte CSIRT und die ENISA [Art. 14 Abs. 1, 3 CRA] |
| Meldeweg | ausschließlich über die einheitliche Meldeplattform nach Art. 16 CRA [Art. 14 Abs. 1, 3, 7 CRA] |
| Frist 1 – Frühwarnung | unverzüglich, in jedem Fall innerhalb von 24 Stunden ab Kenntniserlangung [Art. 14 Abs. 2 lit. a, Abs. 4 lit. a CRA] |
| Frist 2 – Meldung | unverzüglich, in jedem Fall innerhalb von 72 Stunden ab Kenntniserlangung [Art. 14 Abs. 2 lit. b, Abs. 4 lit. b CRA] |
| Frist 3 – Abschlussbericht (Schwachstelle) | spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht [Art. 14 Abs. 2 lit. c CRA] |
| Frist 3 – Abschlussbericht (Sicherheitsvorfall) | innerhalb eines Monats nach Übermittlung der 72-Stunden-Meldung [Art. 14 Abs. 4 lit. c CRA] |
| Zwischenbericht | kann vom als Koordinator benannten CSIRT angefordert werden [Art. 14 Abs. 6 CRA] |
| Nutzerinformation | Hersteller informiert betroffene Nutzer über Schwachstelle/Vorfall und ggf. Abhilfemaßnahmen, gegebenenfalls in strukturiertem, maschinenlesbarem Format [Art. 14 Abs. 8 CRA] |
| Bestandsprodukte | Art.-14-Pflichten gelten auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden [Art. 69 Abs. 3 CRA] |
| Bußgeldrahmen | bis zu 15 000 000 EUR oder – bei Unternehmen – bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist [Art. 64 Abs. 2 CRA] |
| Betreiber der Meldeplattform | ENISA; Betrieb und Instandhaltung durch die ENISA [Art. 16 Abs. 1 CRA] |
| Betriebsbereitschaft der Plattform | 11. September 2026; funktionale und sicherheitstechnische Tests laufen [Europäische Kommission, „CRA – Reporting obligations", Stand 31.07.2026] |
| Delegierter Rechtsakt zum Aufschub der Weiterleitung | Delegierte Verordnung (EU) 2026/881 vom 11.12.2025, in Kraft seit 10.05.2026 [EUR-Lex, ELI reg_del/2026/881] |
Geltungsbereich
Adressat sind Hersteller von Produkten mit digitalen Elementen im Sinne des CRA. Für Verwalter quelloffener Software (Open-Source-Software-Stewards) gilt die Pflicht aus Art. 14 Abs. 1 CRA, soweit sie an der Entwicklung der Produkte beteiligt sind; die Pflichten aus Art. 14 Abs. 3 und 8 CRA gelten, soweit schwerwiegende Sicherheitsvorfälle die von ihnen für die Entwicklung bereitgestellten Netz- und Informationssysteme beeinträchtigen (Art. 24 Abs. 3 CRA).
Besonders praxisrelevant ist Art. 69 Abs. 3 CRA: Abweichend von der allgemeinen Übergangsregel des Art. 69 Abs. 2 CRA gelten die Pflichten des Art. 14 für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden. Die Meldepflicht erfasst damit ab dem 11.09.2026 auch den bereits ausgelieferten Bestand.
Zuständiges CSIRT (Art. 14 Abs. 7 CRA): Gemeldet wird über den Endpunkt des CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat. Als Hauptniederlassung gilt der Mitgliedstaat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden; hilfsweise der Mitgliedstaat mit der höchsten Beschäftigtenzahl. Hersteller ohne Unionsniederlassung bestimmen das CSIRT nach der Reihenfolge: Sitz des Bevollmächtigten → Sitz des Einführers → Sitz des Händlers → Mitgliedstaat mit den meisten Nutzern (Art. 14 Abs. 7 Unterabs. 3 CRA).
Die drei Meldestufen im Detail
| Stufe | Frist bei aktiv ausgenutzter Schwachstelle | Frist bei schwerwiegendem Sicherheitsvorfall | Mindestinhalt |
|---|---|---|---|
| Frühwarnung | 24 Stunden ab Kenntnis | 24 Stunden ab Kenntnis | Schwachstelle: betroffene Mitgliedstaaten, in deren Hoheitsgebiet das Produkt bereitgestellt wurde. Vorfall: zumindest Angabe, ob Verdacht auf rechtswidrige oder böswillige Handlungen besteht, ggf. betroffene Mitgliedstaaten [Art. 14 Abs. 2 lit. a, Abs. 4 lit. a CRA] |
| Meldung | 72 Stunden ab Kenntnis | 72 Stunden ab Kenntnis | allgemeine Informationen zum Produkt, zur Art der Ausnutzung bzw. Art des Vorfalls, erste Bewertung, ergriffene Korrektur-/Risikominderungsmaßnahmen, Maßnahmen für Nutzer, ggf. Einschätzung der Sensibilität der Information [Art. 14 Abs. 2 lit. b, Abs. 4 lit. b CRA] |
| Abschlussbericht | spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme | innerhalb eines Monats nach der 72-Stunden-Meldung | Schwachstelle: Beschreibung inkl. Schweregrad und Auswirkungen, ggf. Informationen zum böswilligen Akteur, Angaben zur Sicherheitsaktualisierung. Vorfall: ausführliche Beschreibung inkl. Schweregrad/Auswirkungen, Art der Bedrohung bzw. zugrunde liegende Ursache, getroffene und laufende Abhilfemaßnahmen [Art. 14 Abs. 2 lit. c, Abs. 4 lit. c CRA] |
Alle drei Stufen sind kumulativ; Informationen, die bereits übermittelt wurden, müssen nicht erneut vorgelegt werden (Wortlaut „sofern die einschlägigen Informationen nicht bereits vorgelegt wurden", Art. 14 Abs. 2 lit. b und c CRA).
Wann ist ein Sicherheitsvorfall „schwerwiegend"?
Nach Art. 14 Abs. 5 CRA gilt ein Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts als schwerwiegend, wenn
- er sich negativ auf die Fähigkeit des Produkts auswirkt oder auswirken kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder
- er zur Einführung oder Ausführung böswilligen Codes im Produkt oder im Netz- und Informationssystem eines Nutzers geführt hat oder führen kann.
Einheitliche Meldeplattform (SRP)
Die ENISA richtet nach Art. 16 Abs. 1 CRA eine einheitliche Meldeplattform ein und betreibt sie; Mitgliedstaaten und ENISA können eigene elektronische Meldeendpunkte einrichten. Nach Angaben der Europäischen Kommission (Stand 31.07.2026) soll die Plattform zum 11. September 2026 betriebsbereit sein; funktionale und sicherheitstechnische Tests laufen. Die ENISA weist darauf hin, dass sich meldende Personen mit einem EU-Login-Konto registrieren müssen und die Berechtigung anschließend durch das als Koordinator benannte CSIRT validiert wird; die Liste der nationalen Koordinator-CSIRTs will die ENISA zu einem späteren Zeitpunkt veröffentlichen (ENISA, FAQ zur CRA SRP, Stand 31.07.2026).
Das empfangende CSIRT leitet die Meldung nach Art. 16 Abs. 2 CRA unverzüglich an die CSIRTs der Mitgliedstaaten weiter, in denen das Produkt bereitgestellt wurde. Unter außergewöhnlichen Umständen kann die Verbreitung aus Cybersicherheitsgründen aufgeschoben werden; die Modalitäten dafür legt die Delegierte Verordnung (EU) 2026/881 vom 11.12.2025 fest (in Kraft seit 10.05.2026).
Häufige Fehler / Missverständnisse
- „Die Meldepflicht gilt erst ab Dezember 2027." Nein – Art. 14 CRA gilt ab 11.09.2026, die übrige Verordnung ab 11.12.2027 (Art. 71 Abs. 2 CRA).
- „Nur neue Produkte sind betroffen." Nein – Art. 69 Abs. 3 CRA erstreckt die Art.-14-Pflichten ausdrücklich auf Produkte, die vor dem 11.12.2027 in den Verkehr gebracht wurden.
- „Es reicht, das nationale CSIRT zu informieren." Nein – die Meldung geht nach Art. 14 Abs. 1 und 3 CRA gleichzeitig an CSIRT und ENISA, und zwar über die einheitliche Meldeplattform nach Art. 16 CRA.
- „Jede bekannte Schwachstelle ist zu melden." Nein – Auslöser ist die aktiv ausgenutzte Schwachstelle im Sinne von Art. 3 Nr. 42 CRA (verlässliche Nachweise für eine Ausnutzung durch einen böswilligen Akteur). Freiwillige Meldungen sonstiger Schwachstellen sind nach Art. 15 CRA möglich.
- „Nach dem Abschlussbericht ist die Sache erledigt." Das als Koordinator benannte CSIRT kann nach Art. 14 Abs. 6 CRA zusätzlich einen Zwischenbericht mit Statusaktualisierungen anfordern.
- „Die CRA-Meldung ersetzt andere Meldungen." Nein – Meldepflichten aus anderen Rechtsakten (u. a. Art. 33 DSGVO bei Verletzungen des Schutzes personenbezogener Daten, NIS-2-Pflichten) bleiben eigenständig bestehen.
Verwandte Themen
- Cyber Resilience Act (CRA) – CE-Pflichten für Produkte mit digitalen Elementen
- BSI TR-03183 – Technische Richtlinie zum Cyber Resilience Act
- DSGVO Art. 33 – Meldung von Datenschutzverletzungen an die Aufsichtsbehörde
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), amtlicher Volltext (ELI-Permalink): https://eur-lex.europa.eu/eli/reg/2024/2847/oj
- Verordnung (EU) 2024/2847, deutsche Fassung (CELEX:32024R2847) – Art. 3 Nr. 42, Art. 14, Art. 16, Art. 24 Abs. 3, Art. 64 Abs. 2, Art. 69 Abs. 3, Art. 71 Abs. 2: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R2847
- Delegierte Verordnung (EU) 2026/881 der Kommission vom 11.12.2025 (Aufschub der Verbreitung von Meldungen), ELI-Permalink: https://eur-lex.europa.eu/eli/reg_del/2026/881/oj
- Delegierte Verordnung (EU) 2026/881, deutsche Fassung (CELEX:32026R0881): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32026R0881
- Europäische Kommission, „Cyber Resilience Act – Reporting obligations" (Stand 31.07.2026): https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
- ENISA, „Single Reporting Platform (SRP)" inkl. FAQ (Stand 31.07.2026): https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
- BSI, Themenseite „Cyber Resilience Act": https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html
- Europäische Kommission, Leitlinien zur CRA-Umsetzung (veröffentlicht 27.07.2026), Abschnitt 9.1 zu den Meldepflichten: https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
Änderungsverlauf
- 2026-08-16: Erstveröffentlichung. Fristen, Empfänger, Definitionen und Bußgeldrahmen wörtlich gegen den amtlichen deutschen Volltext der Verordnung (EU) 2024/2847 auf EUR-Lex geprüft (Art. 3 Nr. 42, Art. 14 Abs. 1–10, Art. 16, Art. 24 Abs. 3, Art. 64 Abs. 2, Art. 69 Abs. 3, Art. 71 Abs. 2); Status der einheitlichen Meldeplattform und der Delegierten Verordnung (EU) 2026/881 gegen Kommission und ENISA (Stand 31.07.2026) verifiziert. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Andreas Warkentin"
Stand
- Stand: 2026-08-16
- Gültig ab: 2026-09-11 (Geltungsbeginn Art. 14 CRA; Verordnung selbst seit 10.12.2024 in Kraft)
- Status: aktuell
- Quellenautorität: A (EUR-Lex CELEX:32024R2847 und CELEX:32026R0881), ergänzt um B (Europäische Kommission, BSI) und C (ENISA)
- Lizenz: CC BY 4.0