---
title: CRA Art. 14 – Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (24h/72h/14 Tage, ab 11.09.2026)
seo_title: CRA Art. 14 – Meldepflichten für aktiv ausgenutzte…
slug: cra-meldepflichten-art-14
topic: datenschutz
legal_status: in_force
authority_level: A
valid_from: 2026-09-11
valid_to: null
last_reviewed: 2026-09-04
status: aktuell
license: CC-BY-4.0
url: https://nexvyra.de/fakten/cra-meldepflichten-art-14.md
wikidata_subjects: [Q118945294, Q1377194, Q3510521]
factcheck_status: ok

---

# CRA Art. 14 – Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (24h/72h/14 Tage, ab 11.09.2026)

## Kurzantwort

**Artikel 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) gilt ab dem 11. September 2026** (Art. 71 Abs. 2 Unterabs. 2 CRA). Ab diesem Tag muss ein Hersteller jede **aktiv ausgenutzte Schwachstelle** in seinem Produkt mit digitalen Elementen und jeden **schwerwiegenden Sicherheitsvorfall**, der sich auf die Sicherheit des Produkts auswirkt, **gleichzeitig dem als Koordinator benannten CSIRT und der ENISA** melden – über die von der ENISA nach Art. 16 CRA eingerichtete **einheitliche Meldeplattform** (Single Reporting Platform, SRP). Die Meldung ist dreistufig: **Frühwarnung innerhalb von 24 Stunden**, **Meldung innerhalb von 72 Stunden** und **Abschlussbericht** – bei Schwachstellen **spätestens 14 Tage**, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, bei schwerwiegenden Sicherheitsvorfällen **innerhalb eines Monats** nach der 72-Stunden-Meldung (Art. 14 Abs. 2 und 4 CRA). Verstöße gegen Art. 14 können nach **Art. 64 Abs. 2 CRA** mit Geldbußen von **bis zu 15 000 000 EUR oder 2,5 % des weltweiten Jahresumsatzes** geahndet werden, je nachdem, welcher Betrag höher ist.

## Kernfakten

| Punkt | Wert |
|---|---|
| Rechtsgrundlage | Art. 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act) [EUR-Lex, CELEX:32024R2847] |
| Geltungsbeginn Art. 14 | **11. September 2026** [Art. 71 Abs. 2 Unterabs. 2 CRA] |
| Geltungsbeginn übrige Verordnung | 11. Dezember 2027 [Art. 71 Abs. 2 Unterabs. 1 CRA] |
| Meldepflichtig | Hersteller von Produkten mit digitalen Elementen [Art. 14 Abs. 1 und 3 CRA]; Verwalter quelloffener Software nach Maßgabe von [Art. 24 Abs. 3 CRA] |
| Meldeanlass 1 | jede **aktiv ausgenutzte Schwachstelle**, die im Produkt enthalten ist und von der der Hersteller Kenntnis erlangt [Art. 14 Abs. 1 CRA] |
| Meldeanlass 2 | jeder **schwerwiegende Sicherheitsvorfall**, der sich auf die Sicherheit des Produkts auswirkt [Art. 14 Abs. 3 CRA] |
| Definition „aktiv ausgenutzte Schwachstelle" | „eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat" [Art. 3 Nr. 42 CRA] |
| Empfänger | **gleichzeitig** das gemäß Art. 14 Abs. 7 als Koordinator benannte CSIRT **und** die ENISA [Art. 14 Abs. 1, 3 CRA] |
| Meldeweg | ausschließlich über die **einheitliche Meldeplattform** nach Art. 16 CRA [Art. 14 Abs. 1, 3, 7 CRA] |
| Frist 1 – Frühwarnung | unverzüglich, **in jedem Fall innerhalb von 24 Stunden** ab Kenntniserlangung [Art. 14 Abs. 2 lit. a, Abs. 4 lit. a CRA] |
| Frist 2 – Meldung | unverzüglich, **in jedem Fall innerhalb von 72 Stunden** ab Kenntniserlangung [Art. 14 Abs. 2 lit. b, Abs. 4 lit. b CRA] |
| Frist 3 – Abschlussbericht (Schwachstelle) | **spätestens 14 Tage**, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht [Art. 14 Abs. 2 lit. c CRA] |
| Frist 3 – Abschlussbericht (Sicherheitsvorfall) | **innerhalb eines Monats** nach Übermittlung der 72-Stunden-Meldung [Art. 14 Abs. 4 lit. c CRA] |
| Zwischenbericht | kann vom als Koordinator benannten CSIRT angefordert werden [Art. 14 Abs. 6 CRA] |
| Nutzerinformation | Hersteller informiert betroffene Nutzer über Schwachstelle/Vorfall und ggf. Abhilfemaßnahmen, gegebenenfalls in strukturiertem, maschinenlesbarem Format [Art. 14 Abs. 8 CRA] |
| Bestandsprodukte | Art.-14-Pflichten gelten **auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden** [Art. 69 Abs. 3 CRA] |
| Bußgeldrahmen | bis zu **15 000 000 EUR** oder – bei Unternehmen – bis zu **2,5 % des gesamten weltweiten Jahresumsatzes** des Vorjahres, je nachdem, welcher Betrag höher ist [Art. 64 Abs. 2 CRA] |
| Betreiber der Meldeplattform | **ENISA**; Betrieb und Instandhaltung durch die ENISA [Art. 16 Abs. 1 CRA] |
| Betriebsbereitschaft der Plattform | **11. September 2026**; funktionale und sicherheitstechnische Tests laufen [Europäische Kommission, „CRA – Reporting obligations", Stand 31.07.2026] |
| Delegierter Rechtsakt zum Aufschub der Weiterleitung | Delegierte Verordnung (EU) **2026/881** vom **11.12.2025**, in Kraft seit **10.05.2026** [EUR-Lex, ELI reg_del/2026/881] |

## Geltungsbereich

Adressat sind **Hersteller von Produkten mit digitalen Elementen** im Sinne des CRA. Für **Verwalter quelloffener Software** (Open-Source-Software-Stewards) gilt die Pflicht aus Art. 14 Abs. 1 CRA, soweit sie an der Entwicklung der Produkte beteiligt sind; die Pflichten aus Art. 14 Abs. 3 und 8 CRA gelten, soweit schwerwiegende Sicherheitsvorfälle die von ihnen für die Entwicklung bereitgestellten Netz- und Informationssysteme beeinträchtigen (Art. 24 Abs. 3 CRA).

Besonders praxisrelevant ist **Art. 69 Abs. 3 CRA**: Abweichend von der allgemeinen Übergangsregel des Art. 69 Abs. 2 CRA gelten die Pflichten des Art. 14 **für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden**. Die Meldepflicht erfasst damit ab dem 11.09.2026 auch den bereits ausgelieferten Bestand.

**Zuständiges CSIRT (Art. 14 Abs. 7 CRA):** Gemeldet wird über den Endpunkt des CSIRT des Mitgliedstaats, in dem der Hersteller seine **Hauptniederlassung in der Union** hat. Als Hauptniederlassung gilt der Mitgliedstaat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden; hilfsweise der Mitgliedstaat mit der höchsten Beschäftigtenzahl. Hersteller ohne Unionsniederlassung bestimmen das CSIRT nach der Reihenfolge: Sitz des Bevollmächtigten → Sitz des Einführers → Sitz des Händlers → Mitgliedstaat mit den meisten Nutzern (Art. 14 Abs. 7 Unterabs. 3 CRA).

## Die drei Meldestufen im Detail

| Stufe | Frist bei aktiv ausgenutzter Schwachstelle | Frist bei schwerwiegendem Sicherheitsvorfall | Mindestinhalt |
|---|---|---|---|
| Frühwarnung | 24 Stunden ab Kenntnis | 24 Stunden ab Kenntnis | Schwachstelle: betroffene Mitgliedstaaten, in deren Hoheitsgebiet das Produkt bereitgestellt wurde. Vorfall: zumindest Angabe, ob Verdacht auf rechtswidrige oder böswillige Handlungen besteht, ggf. betroffene Mitgliedstaaten [Art. 14 Abs. 2 lit. a, Abs. 4 lit. a CRA] |
| Meldung | 72 Stunden ab Kenntnis | 72 Stunden ab Kenntnis | allgemeine Informationen zum Produkt, zur Art der Ausnutzung bzw. Art des Vorfalls, erste Bewertung, ergriffene Korrektur-/Risikominderungsmaßnahmen, Maßnahmen für Nutzer, ggf. Einschätzung der Sensibilität der Information [Art. 14 Abs. 2 lit. b, Abs. 4 lit. b CRA] |
| Abschlussbericht | spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme | innerhalb eines Monats nach der 72-Stunden-Meldung | Schwachstelle: Beschreibung inkl. Schweregrad und Auswirkungen, ggf. Informationen zum böswilligen Akteur, Angaben zur Sicherheitsaktualisierung. Vorfall: ausführliche Beschreibung inkl. Schweregrad/Auswirkungen, Art der Bedrohung bzw. zugrunde liegende Ursache, getroffene und laufende Abhilfemaßnahmen [Art. 14 Abs. 2 lit. c, Abs. 4 lit. c CRA] |

Alle drei Stufen sind kumulativ; Informationen, die bereits übermittelt wurden, müssen nicht erneut vorgelegt werden (Wortlaut „sofern die einschlägigen Informationen nicht bereits vorgelegt wurden", Art. 14 Abs. 2 lit. b und c CRA).

## Wann ist ein Sicherheitsvorfall „schwerwiegend"?

Nach **Art. 14 Abs. 5 CRA** gilt ein Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts als schwerwiegend, wenn

- er sich negativ auf die Fähigkeit des Produkts auswirkt oder auswirken kann, die **Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit** sensibler oder wichtiger Daten oder Funktionen zu schützen, **oder**
- er zur **Einführung oder Ausführung böswilligen Codes** im Produkt oder im Netz- und Informationssystem eines Nutzers geführt hat oder führen kann.

## Einheitliche Meldeplattform (SRP)

Die ENISA richtet nach **Art. 16 Abs. 1 CRA** eine einheitliche Meldeplattform ein und betreibt sie; Mitgliedstaaten und ENISA können eigene elektronische Meldeendpunkte einrichten. Nach Angaben der Europäischen Kommission (Stand 31.07.2026) soll die Plattform **zum 11. September 2026 betriebsbereit** sein; funktionale und sicherheitstechnische Tests laufen. Die ENISA weist darauf hin, dass sich meldende Personen mit einem **EU-Login-Konto** registrieren müssen und die Berechtigung anschließend durch das als Koordinator benannte CSIRT validiert wird; die Liste der nationalen Koordinator-CSIRTs will die ENISA zu einem späteren Zeitpunkt veröffentlichen (ENISA, FAQ zur CRA SRP, Stand 31.07.2026).

Das empfangende CSIRT leitet die Meldung nach **Art. 16 Abs. 2 CRA** unverzüglich an die CSIRTs der Mitgliedstaaten weiter, in denen das Produkt bereitgestellt wurde. Unter außergewöhnlichen Umständen kann die Verbreitung aus Cybersicherheitsgründen aufgeschoben werden; die Modalitäten dafür legt die **Delegierte Verordnung (EU) 2026/881** vom 11.12.2025 fest (in Kraft seit 10.05.2026).

## Häufige Fehler / Missverständnisse

- **„Die Meldepflicht gilt erst ab Dezember 2027."** Nein – Art. 14 CRA gilt ab **11.09.2026**, die übrige Verordnung ab 11.12.2027 (Art. 71 Abs. 2 CRA).
- **„Nur neue Produkte sind betroffen."** Nein – Art. 69 Abs. 3 CRA erstreckt die Art.-14-Pflichten ausdrücklich auf Produkte, die **vor** dem 11.12.2027 in den Verkehr gebracht wurden.
- **„Es reicht, das nationale CSIRT zu informieren."** Nein – die Meldung geht nach Art. 14 Abs. 1 und 3 CRA **gleichzeitig** an CSIRT und ENISA, und zwar über die einheitliche Meldeplattform nach Art. 16 CRA.
- **„Jede bekannte Schwachstelle ist zu melden."** Nein – Auslöser ist die **aktiv ausgenutzte** Schwachstelle im Sinne von Art. 3 Nr. 42 CRA (verlässliche Nachweise für eine Ausnutzung durch einen böswilligen Akteur). Freiwillige Meldungen sonstiger Schwachstellen sind nach Art. 15 CRA möglich.
- **„Nach dem Abschlussbericht ist die Sache erledigt."** Das als Koordinator benannte CSIRT kann nach Art. 14 Abs. 6 CRA zusätzlich einen **Zwischenbericht** mit Statusaktualisierungen anfordern.
- **„Die CRA-Meldung ersetzt andere Meldungen."** Nein – Meldepflichten aus anderen Rechtsakten (u. a. Art. 33 DSGVO bei Verletzungen des Schutzes personenbezogener Daten, NIS-2-Pflichten) bleiben eigenständig bestehen.

## Verwandte Themen

- [Cyber Resilience Act (CRA) – CE-Pflichten für Produkte mit digitalen Elementen](/fakten/cyber-resilience-act-cra.html)
- [BSI TR-03183 – Technische Richtlinie zum Cyber Resilience Act](/fakten/bsi-tr-03183-cra-anforderungen.html)
- [DSGVO Art. 33 – Meldung von Datenschutzverletzungen an die Aufsichtsbehörde](/fakten/dsgvo-meldepflicht-art-33.html)
















## Quellen

- Verordnung (EU) 2024/2847 (Cyber Resilience Act), amtlicher Volltext (ELI-Permalink): https://eur-lex.europa.eu/eli/reg/2024/2847/oj — Autorität **A**
- Verordnung (EU) 2024/2847, deutsche Fassung (CELEX:32024R2847) – Art. 3 Nr. 42, Art. 14, Art. 16, Art. 24 Abs. 3, Art. 64 Abs. 2, Art. 69 Abs. 3, Art. 71 Abs. 2: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R2847 — Autorität **A**
- Delegierte Verordnung (EU) 2026/881 der Kommission vom 11.12.2025 (Aufschub der Verbreitung von Meldungen), ELI-Permalink: https://eur-lex.europa.eu/eli/reg_del/2026/881/oj — Autorität **A**
- Delegierte Verordnung (EU) 2026/881, deutsche Fassung (CELEX:32026R0881): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32026R0881 — Autorität **A**
- Europäische Kommission, „Cyber Resilience Act – Reporting obligations" (Stand 31.07.2026): https://digital-strategy.ec.europa.eu/en/policies/cra-reporting — Autorität **B**
- ENISA, „Single Reporting Platform (SRP)" inkl. FAQ (Stand 31.07.2026): https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp — Autorität **C**
- BSI, Themenseite „Cyber Resilience Act": https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html — Autorität **B**
- Europäische Kommission, Leitlinien zur CRA-Umsetzung (veröffentlicht 27.07.2026), Abschnitt 9.1 zu den Meldepflichten: https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation — Autorität **B**

## Änderungsverlauf

- 2026-08-16: Erstveröffentlichung. Fristen, Empfänger, Definitionen und Bußgeldrahmen wörtlich gegen den amtlichen deutschen Volltext der Verordnung (EU) 2024/2847 auf EUR-Lex geprüft (Art. 3 Nr. 42, Art. 14 Abs. 1–10, Art. 16, Art. 24 Abs. 3, Art. 64 Abs. 2, Art. 69 Abs. 3, Art. 71 Abs. 2); Status der einheitlichen Meldeplattform und der Delegierten Verordnung (EU) 2026/881 gegen Kommission und ENISA (Stand 31.07.2026) verifiziert. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Andreas Warkentin"

## Stand

- Stand: 2026-08-16
- Gültig ab: 2026-09-11 (Geltungsbeginn Art. 14 CRA; Verordnung selbst seit 10.12.2024 in Kraft)
- Status: aktuell
- Quellenautorität: A (EUR-Lex CELEX:32024R2847 und CELEX:32026R0881), ergänzt um B (Europäische Kommission, BSI) und C (ENISA)
- Lizenz: CC BY 4.0