---
title: Frist 11.09.2026 – CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen werden in 28 Tagen anwendbar
slug: 2026-08-14-frist-cra-vulnerability-meldepflicht-11-09-2026
type: news
news_type: frist
topic: datenschutz
event_date: 2026-09-11
published: 2026-08-14
authority_level: A
license: CC-BY-4.0
url: https://nexvyra.de/news/2026-08-14-frist-cra-vulnerability-meldepflicht-11-09-2026.md
source_primary: https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/2026/TR-03183_Einstiegshilfe_CRA_260805.html
source_permalink: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
related_topics: [cyber-resilience-act-cra, nis2-umsucg-kritis]
factcheck_status: ok
---

# Frist 11.09.2026 – CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen werden in 28 Tagen anwendbar

## Kurzmeldung

In **28 Tagen, am 11. September 2026**, beginnt nach **Art. 71 Abs. 2 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA)** die **Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle**. Das BSI hat diesen Stichtag in seiner Meldung vom 05.08.2026 ausdrücklich bestätigt. Die übrigen Hauptpflichten des CRA gelten erst ab dem **11. Dezember 2027**. Die Verordnung selbst ist bereits seit dem **10. Dezember 2024** in Kraft.

## Kernfakten

| Punkt | Wert |
|---|---|
| Datum | 2026-09-11 (Beginn der Meldepflichten) |
| Gericht/Institution | Europäische Union; in Deutschland flankierend BSI |
| Aktenzeichen | Verordnung (EU) 2024/2847, CELEX:32024R2847 |
| Rechtsgrundlage | Art. 14 CRA (Meldepflichten), Art. 71 Abs. 2 CRA (Anwendungsbeginn) |
| Wirkung | Meldepflichten anwendbar ab 11.09.2026; vollständige Anwendung der Hauptpflichten ab 11.12.2027 |

## Was das bedeutet

Ab dem 11. September 2026 müssen **Hersteller von Produkten mit digitalen Elementen** aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Der CRA sieht dafür ein **gestuftes Verfahren** vor: eine **Frühwarnung innerhalb von 24 Stunden** an ENISA und das zuständige CSIRT (Art. 14 Abs. 2 lit. a CRA), eine **Meldung innerhalb von 72 Stunden** (Art. 14 Abs. 2 lit. b CRA) und ein **Abschlussbericht spätestens 14 Tage**, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht (Art. 14 Abs. 2 lit. c CRA). Verstöße gegen Art. 14 können nach **Art. 64 Abs. 2 CRA** mit Geldbußen bis zu **15 000 000 Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes** des Vorjahres geahndet werden, je nachdem, welcher Betrag höher ist. Praktisch heißt das: Betroffene Unternehmen brauchen bis zum Stichtag einen funktionierenden Meldeprozess mit klaren Zuständigkeiten, Eskalationswegen und Kontaktdaten der Meldestellen — 24 Stunden lassen sich nicht improvisieren. Ein verbreiteter Irrtum ist die Annahme, der CRA werde erst 2027 relevant; die Meldepflichten greifen über ein Jahr früher. Als Einstiegshilfe hat das BSI am 05.08.2026 die Technische Richtlinie TR-03183-1 in Version 1.0.0 veröffentlicht (unverbindlich).

## Für vertiefte Information

- [Cyber Resilience Act (CRA) – CE-Pflichten für Produkte mit digitalen Elementen](/fakten/cyber-resilience-act-cra.html)
- [NIS-2 UmsuCG – Cybersecurity-Pflichten für KRITIS und besonders wichtige Einrichtungen](/fakten/nis2-umsucg-kritis.html)
- Verwandte Meldung: [BSI veröffentlicht Technische Richtlinie TR-03183-1 Version 1.0.0](/news/2026-08-14-bsi-tr-03183-1-cra-einstiegshilfe.html)

## Quelle

- Verordnung (EU) 2024/2847 (Cyber Resilience Act), ELI-Permalink: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
- Verordnung (EU) 2024/2847, Amtsblatt-Fassung (DE): https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:L_202402847
- BSI, Meldung vom 05.08.2026 mit Bestätigung des Stichtags 11.09.2026: https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/2026/TR-03183_Einstiegshilfe_CRA_260805.html
- BSI, Themenseite Cyber Resilience Act: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html

## Stand

- News-Publikation: 2026-08-14
- Ereignis-Datum: 2026-09-11
- Rechtsbereich: Datenschutz und IT-Sicherheit
- Autorität: A
- Lizenz: CC BY 4.0