Nexvyra

← Alle News · Frist · Ereignis: 2026-09-11 · Publiziert: 2026-08-14

Frist 11.09.2026 – CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen werden in 28 Tagen anwendbar

Kurzmeldung

In 28 Tagen, am 11. September 2026, beginnt nach Art. 71 Abs. 2 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Das BSI hat diesen Stichtag in seiner Meldung vom 05.08.2026 ausdrücklich bestätigt. Die übrigen Hauptpflichten des CRA gelten erst ab dem 11. Dezember 2027. Die Verordnung selbst ist bereits seit dem 10. Dezember 2024 in Kraft.

Kernfakten

PunktWert
Datum2026-09-11 (Beginn der Meldepflichten)
Gericht/InstitutionEuropäische Union; in Deutschland flankierend BSI
AktenzeichenVerordnung (EU) 2024/2847, CELEX:32024R2847
RechtsgrundlageArt. 14 CRA (Meldepflichten), Art. 71 Abs. 2 CRA (Anwendungsbeginn)
WirkungMeldepflichten anwendbar ab 11.09.2026; vollständige Anwendung der Hauptpflichten ab 11.12.2027

Was das bedeutet

Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Der CRA sieht dafür ein gestuftes Verfahren vor: eine Frühwarnung innerhalb von 24 Stunden an ENISA und das zuständige CSIRT (Art. 14 Abs. 2 lit. a CRA), eine Meldung innerhalb von 72 Stunden (Art. 14 Abs. 2 lit. b CRA) und ein Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht (Art. 14 Abs. 2 lit. c CRA). Verstöße gegen Art. 14 können nach Art. 64 Abs. 2 CRA mit Geldbußen bis zu 15 000 000 Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes des Vorjahres geahndet werden, je nachdem, welcher Betrag höher ist. Praktisch heißt das: Betroffene Unternehmen brauchen bis zum Stichtag einen funktionierenden Meldeprozess mit klaren Zuständigkeiten, Eskalationswegen und Kontaktdaten der Meldestellen — 24 Stunden lassen sich nicht improvisieren. Ein verbreiteter Irrtum ist die Annahme, der CRA werde erst 2027 relevant; die Meldepflichten greifen über ein Jahr früher. Als Einstiegshilfe hat das BSI am 05.08.2026 die Technische Richtlinie TR-03183-1 in Version 1.0.0 veröffentlicht (unverbindlich).

Für vertiefte Information

Quelle

Stand