{ "slug": "cra-meldepflichten-art-14", "title": "CRA Art. 14 – Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (24h/72h/14 Tage, ab 11.09.2026)", "topic_area": "datenschutz", "topic_label": "Datenschutz", "language": "de", "legal_status": "in_force", "valid_from": "2026-09-11", "valid_to": null, "last_reviewed": "2026-08-16", "factcheck_status": "ok", "authority_level": "A", "license": "CC-BY-4.0", "license_url": "https://creativecommons.org/licenses/by/4.0/deed.de", "attribution": "Nexvyra (https://nexvyra.de, Wikidata Q139919900)", "wikidata_subjects": [ "Q118945294", "Q1377194", "Q3510521" ], "summary": "**Artikel 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) gilt ab dem 11. September 2026** (Art. 71 Abs. 2 Unterabs. 2 CRA). Ab diesem Tag muss ein Hersteller jede **aktiv ausgenutzte Schwachstelle** in seinem Produkt mit…", "urls": { "html": "https://nexvyra.de/fakten/cra-meldepflichten-art-14.html", "markdown": "https://nexvyra.de/fakten/cra-meldepflichten-art-14.md", "json": "https://nexvyra.de/fakten/cra-meldepflichten-art-14.json" }, "sources": [ { "url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "authority": "A" }, { "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R2847", "authority": "A" }, { "url": "https://eur-lex.europa.eu/eli/reg_del/2026/881/oj", "authority": "A" }, { "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32026R0881", "authority": "A" }, { "url": "https://digital-strategy.ec.europa.eu/en/policies/cra-reporting", "authority": "D" }, { "url": "https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp", "authority": "D" }, { "url": "https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html", "authority": "B" }, { "url": "https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation", "authority": "D" } ], "facts": [ { "claim": "Rechtsgrundlage: Art. 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act)", "label": "Rechtsgrundlage", "value": "Art. 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act)", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "EUR-Lex, CELEX:32024R2847", "last_verified": "2026-08-16" }, { "claim": "Geltungsbeginn Art. 14: 11. September 2026", "label": "Geltungsbeginn Art. 14", "value": "11. September 2026", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 71 Abs. 2 Unterabs. 2 CRA", "last_verified": "2026-08-16" }, { "claim": "Geltungsbeginn übrige Verordnung: 11. Dezember 2027", "label": "Geltungsbeginn übrige Verordnung", "value": "11. Dezember 2027", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 71 Abs. 2 Unterabs. 1 CRA", "last_verified": "2026-08-16" }, { "claim": "Meldepflichtig: Hersteller von Produkten mit digitalen Elementen [Art. 14 Abs. 1 und 3 CRA]; Verwalter quelloffener Software nach Maßgabe von", "label": "Meldepflichtig", "value": "Hersteller von Produkten mit digitalen Elementen [Art. 14 Abs. 1 und 3 CRA]; Verwalter quelloffener Software nach Maßgabe von", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 24 Abs. 3 CRA", "last_verified": "2026-08-16" }, { "claim": "Meldeanlass 1: jede aktiv ausgenutzte Schwachstelle, die im Produkt enthalten ist und von der der Hersteller Kenntnis erlangt", "label": "Meldeanlass 1", "value": "jede aktiv ausgenutzte Schwachstelle, die im Produkt enthalten ist und von der der Hersteller Kenntnis erlangt", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 14 Abs. 1 CRA", "last_verified": "2026-08-16" }, { "claim": "Meldeanlass 2: jeder schwerwiegende Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt", "label": "Meldeanlass 2", "value": "jeder schwerwiegende Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 14 Abs. 3 CRA", "last_verified": "2026-08-16" }, { "claim": "Definition „aktiv ausgenutzte Schwachstelle\": „eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat\"", "label": "Definition „aktiv ausgenutzte Schwachstelle\"", "value": "„eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat\"", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 3 Nr. 42 CRA", "last_verified": "2026-08-16" }, { "claim": "Empfänger: gleichzeitig das gemäß Art. 14 Abs. 7 als Koordinator benannte CSIRT und die ENISA", "label": "Empfänger", "value": "gleichzeitig das gemäß Art. 14 Abs. 7 als Koordinator benannte CSIRT und die ENISA", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 14 Abs. 1, 3 CRA", "last_verified": "2026-08-16" }, { "claim": "Meldeweg: ausschließlich über die einheitliche Meldeplattform nach Art. 16 CRA", "label": "Meldeweg", "value": "ausschließlich über die einheitliche Meldeplattform nach Art. 16 CRA", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 14 Abs. 1, 3, 7 CRA", "last_verified": "2026-08-16" }, { "claim": "Frist 1 – Frühwarnung: unverzüglich, in jedem Fall innerhalb von 24 Stunden ab Kenntniserlangung", "label": "Frist 1 – Frühwarnung", "value": "unverzüglich, in jedem Fall innerhalb von 24 Stunden ab Kenntniserlangung", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 14 Abs. 2 lit. a, Abs. 4 lit. a CRA", "last_verified": "2026-08-16" }, { "claim": "Frist 2 – Meldung: unverzüglich, in jedem Fall innerhalb von 72 Stunden ab Kenntniserlangung", "label": "Frist 2 – Meldung", "value": "unverzüglich, in jedem Fall innerhalb von 72 Stunden ab Kenntniserlangung", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 14 Abs. 2 lit. b, Abs. 4 lit. b CRA", "last_verified": "2026-08-16" }, { "claim": "Frist 3 – Abschlussbericht (Schwachstelle): spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht", "label": "Frist 3 – Abschlussbericht (Schwachstelle)", "value": "spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 14 Abs. 2 lit. c CRA", "last_verified": "2026-08-16" }, { "claim": "Frist 3 – Abschlussbericht (Sicherheitsvorfall): innerhalb eines Monats nach Übermittlung der 72-Stunden-Meldung", "label": "Frist 3 – Abschlussbericht (Sicherheitsvorfall)", "value": "innerhalb eines Monats nach Übermittlung der 72-Stunden-Meldung", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 14 Abs. 4 lit. c CRA", "last_verified": "2026-08-16" }, { "claim": "Zwischenbericht: kann vom als Koordinator benannten CSIRT angefordert werden", "label": "Zwischenbericht", "value": "kann vom als Koordinator benannten CSIRT angefordert werden", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 14 Abs. 6 CRA", "last_verified": "2026-08-16" }, { "claim": "Nutzerinformation: Hersteller informiert betroffene Nutzer über Schwachstelle/Vorfall und ggf. Abhilfemaßnahmen, gegebenenfalls in strukturiertem, maschinenlesbarem Format", "label": "Nutzerinformation", "value": "Hersteller informiert betroffene Nutzer über Schwachstelle/Vorfall und ggf. Abhilfemaßnahmen, gegebenenfalls in strukturiertem, maschinenlesbarem Format", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 14 Abs. 8 CRA", "last_verified": "2026-08-16" }, { "claim": "Bestandsprodukte: Art.-14-Pflichten gelten auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden", "label": "Bestandsprodukte", "value": "Art.-14-Pflichten gelten auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 69 Abs. 3 CRA", "last_verified": "2026-08-16" }, { "claim": "Bußgeldrahmen: bis zu 15 000 000 EUR oder – bei Unternehmen – bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist", "label": "Bußgeldrahmen", "value": "bis zu 15 000 000 EUR oder – bei Unternehmen – bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 64 Abs. 2 CRA", "last_verified": "2026-08-16" }, { "claim": "Betreiber der Meldeplattform: ENISA; Betrieb und Instandhaltung durch die ENISA", "label": "Betreiber der Meldeplattform", "value": "ENISA; Betrieb und Instandhaltung durch die ENISA", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Art. 16 Abs. 1 CRA", "last_verified": "2026-08-16" }, { "claim": "Betriebsbereitschaft der Plattform: 11. September 2026; funktionale und sicherheitstechnische Tests laufen", "label": "Betriebsbereitschaft der Plattform", "value": "11. September 2026; funktionale und sicherheitstechnische Tests laufen", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "Europäische Kommission, „CRA – Reporting obligations\", Stand 31.07.2026", "last_verified": "2026-08-16" }, { "claim": "Delegierter Rechtsakt zum Aufschub der Weiterleitung: Delegierte Verordnung (EU) 2026/881 vom 11.12.2025, in Kraft seit 10.05.2026", "label": "Delegierter Rechtsakt zum Aufschub der Weiterleitung", "value": "Delegierte Verordnung (EU) 2026/881 vom 11.12.2025, in Kraft seit 10.05.2026", "source_url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj", "source_authority": "A", "confidence": "high", "inline_source_label": "EUR-Lex, ELI reg_del/2026/881", "last_verified": "2026-08-16" } ], "generated_at": "2026-09-04T14:16:45Z" }