Nexvyra

CRA Art. 14 – Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (24h/72h/14 Tage, ab 11.09.2026)

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-16 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Artikel 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) gilt ab dem 11. September 2026 (Art. 71 Abs. 2 Unterabs. 2 CRA). Ab diesem Tag muss ein Hersteller jede aktiv ausgenutzte Schwachstelle in seinem Produkt mit digitalen Elementen und jeden schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt, gleichzeitig dem als Koordinator benannten CSIRT und der ENISA melden – über die von der ENISA nach Art. 16 CRA eingerichtete einheitliche Meldeplattform (Single Reporting Platform, SRP). Die Meldung ist dreistufig: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht – bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, bei schwerwiegenden Sicherheitsvorfällen innerhalb eines Monats nach der 72-Stunden-Meldung (Art. 14 Abs. 2 und 4 CRA). Verstöße gegen Art. 14 können nach Art. 64 Abs. 2 CRA mit Geldbußen von bis zu 15 000 000 EUR oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

Kernfakten

PunktWert
RechtsgrundlageArt. 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act) [EUR-Lex, CELEX:32024R2847]
Geltungsbeginn Art. 1411. September 2026 [Art. 71 Abs. 2 Unterabs. 2 CRA]
Geltungsbeginn übrige Verordnung11. Dezember 2027 [Art. 71 Abs. 2 Unterabs. 1 CRA]
MeldepflichtigHersteller von Produkten mit digitalen Elementen [Art. 14 Abs. 1 und 3 CRA]; Verwalter quelloffener Software nach Maßgabe von [Art. 24 Abs. 3 CRA]
Meldeanlass 1jede aktiv ausgenutzte Schwachstelle, die im Produkt enthalten ist und von der der Hersteller Kenntnis erlangt [Art. 14 Abs. 1 CRA]
Meldeanlass 2jeder schwerwiegende Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt [Art. 14 Abs. 3 CRA]
Definition „aktiv ausgenutzte Schwachstelle"„eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat" [Art. 3 Nr. 42 CRA]
Empfängergleichzeitig das gemäß Art. 14 Abs. 7 als Koordinator benannte CSIRT und die ENISA [Art. 14 Abs. 1, 3 CRA]
Meldewegausschließlich über die einheitliche Meldeplattform nach Art. 16 CRA [Art. 14 Abs. 1, 3, 7 CRA]
Frist 1 – Frühwarnungunverzüglich, in jedem Fall innerhalb von 24 Stunden ab Kenntniserlangung [Art. 14 Abs. 2 lit. a, Abs. 4 lit. a CRA]
Frist 2 – Meldungunverzüglich, in jedem Fall innerhalb von 72 Stunden ab Kenntniserlangung [Art. 14 Abs. 2 lit. b, Abs. 4 lit. b CRA]
Frist 3 – Abschlussbericht (Schwachstelle)spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht [Art. 14 Abs. 2 lit. c CRA]
Frist 3 – Abschlussbericht (Sicherheitsvorfall)innerhalb eines Monats nach Übermittlung der 72-Stunden-Meldung [Art. 14 Abs. 4 lit. c CRA]
Zwischenberichtkann vom als Koordinator benannten CSIRT angefordert werden [Art. 14 Abs. 6 CRA]
NutzerinformationHersteller informiert betroffene Nutzer über Schwachstelle/Vorfall und ggf. Abhilfemaßnahmen, gegebenenfalls in strukturiertem, maschinenlesbarem Format [Art. 14 Abs. 8 CRA]
BestandsprodukteArt.-14-Pflichten gelten auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden [Art. 69 Abs. 3 CRA]
Bußgeldrahmenbis zu 15 000 000 EUR oder – bei Unternehmen – bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist [Art. 64 Abs. 2 CRA]
Betreiber der MeldeplattformENISA; Betrieb und Instandhaltung durch die ENISA [Art. 16 Abs. 1 CRA]
Betriebsbereitschaft der Plattform11. September 2026; funktionale und sicherheitstechnische Tests laufen [Europäische Kommission, „CRA – Reporting obligations", Stand 31.07.2026]
Delegierter Rechtsakt zum Aufschub der WeiterleitungDelegierte Verordnung (EU) 2026/881 vom 11.12.2025, in Kraft seit 10.05.2026 [EUR-Lex, ELI reg_del/2026/881]

Geltungsbereich

Adressat sind Hersteller von Produkten mit digitalen Elementen im Sinne des CRA. Für Verwalter quelloffener Software (Open-Source-Software-Stewards) gilt die Pflicht aus Art. 14 Abs. 1 CRA, soweit sie an der Entwicklung der Produkte beteiligt sind; die Pflichten aus Art. 14 Abs. 3 und 8 CRA gelten, soweit schwerwiegende Sicherheitsvorfälle die von ihnen für die Entwicklung bereitgestellten Netz- und Informationssysteme beeinträchtigen (Art. 24 Abs. 3 CRA).

Besonders praxisrelevant ist Art. 69 Abs. 3 CRA: Abweichend von der allgemeinen Übergangsregel des Art. 69 Abs. 2 CRA gelten die Pflichten des Art. 14 für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden. Die Meldepflicht erfasst damit ab dem 11.09.2026 auch den bereits ausgelieferten Bestand.

Zuständiges CSIRT (Art. 14 Abs. 7 CRA): Gemeldet wird über den Endpunkt des CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat. Als Hauptniederlassung gilt der Mitgliedstaat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden; hilfsweise der Mitgliedstaat mit der höchsten Beschäftigtenzahl. Hersteller ohne Unionsniederlassung bestimmen das CSIRT nach der Reihenfolge: Sitz des Bevollmächtigten → Sitz des Einführers → Sitz des Händlers → Mitgliedstaat mit den meisten Nutzern (Art. 14 Abs. 7 Unterabs. 3 CRA).

Die drei Meldestufen im Detail

StufeFrist bei aktiv ausgenutzter SchwachstelleFrist bei schwerwiegendem SicherheitsvorfallMindestinhalt
Frühwarnung24 Stunden ab Kenntnis24 Stunden ab KenntnisSchwachstelle: betroffene Mitgliedstaaten, in deren Hoheitsgebiet das Produkt bereitgestellt wurde. Vorfall: zumindest Angabe, ob Verdacht auf rechtswidrige oder böswillige Handlungen besteht, ggf. betroffene Mitgliedstaaten [Art. 14 Abs. 2 lit. a, Abs. 4 lit. a CRA]
Meldung72 Stunden ab Kenntnis72 Stunden ab Kenntnisallgemeine Informationen zum Produkt, zur Art der Ausnutzung bzw. Art des Vorfalls, erste Bewertung, ergriffene Korrektur-/Risikominderungsmaßnahmen, Maßnahmen für Nutzer, ggf. Einschätzung der Sensibilität der Information [Art. 14 Abs. 2 lit. b, Abs. 4 lit. b CRA]
Abschlussberichtspätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahmeinnerhalb eines Monats nach der 72-Stunden-MeldungSchwachstelle: Beschreibung inkl. Schweregrad und Auswirkungen, ggf. Informationen zum böswilligen Akteur, Angaben zur Sicherheitsaktualisierung. Vorfall: ausführliche Beschreibung inkl. Schweregrad/Auswirkungen, Art der Bedrohung bzw. zugrunde liegende Ursache, getroffene und laufende Abhilfemaßnahmen [Art. 14 Abs. 2 lit. c, Abs. 4 lit. c CRA]

Alle drei Stufen sind kumulativ; Informationen, die bereits übermittelt wurden, müssen nicht erneut vorgelegt werden (Wortlaut „sofern die einschlägigen Informationen nicht bereits vorgelegt wurden", Art. 14 Abs. 2 lit. b und c CRA).

Wann ist ein Sicherheitsvorfall „schwerwiegend"?

Nach Art. 14 Abs. 5 CRA gilt ein Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts als schwerwiegend, wenn

Einheitliche Meldeplattform (SRP)

Die ENISA richtet nach Art. 16 Abs. 1 CRA eine einheitliche Meldeplattform ein und betreibt sie; Mitgliedstaaten und ENISA können eigene elektronische Meldeendpunkte einrichten. Nach Angaben der Europäischen Kommission (Stand 31.07.2026) soll die Plattform zum 11. September 2026 betriebsbereit sein; funktionale und sicherheitstechnische Tests laufen. Die ENISA weist darauf hin, dass sich meldende Personen mit einem EU-Login-Konto registrieren müssen und die Berechtigung anschließend durch das als Koordinator benannte CSIRT validiert wird; die Liste der nationalen Koordinator-CSIRTs will die ENISA zu einem späteren Zeitpunkt veröffentlichen (ENISA, FAQ zur CRA SRP, Stand 31.07.2026).

Das empfangende CSIRT leitet die Meldung nach Art. 16 Abs. 2 CRA unverzüglich an die CSIRTs der Mitgliedstaaten weiter, in denen das Produkt bereitgestellt wurde. Unter außergewöhnlichen Umständen kann die Verbreitung aus Cybersicherheitsgründen aufgeschoben werden; die Modalitäten dafür legt die Delegierte Verordnung (EU) 2026/881 vom 11.12.2025 fest (in Kraft seit 10.05.2026).

Häufige Fehler / Missverständnisse

Verwandte Themen

Quellen

Änderungsverlauf

Stand

Aktuelles