Nexvyra

← Alle News · Frist · Ereignis: 2026-09-11 · Publiziert: 2026-08-28

Frist 11.09.2026 – noch 14 Tage bis zu den CRA-Meldepflichten für Hersteller

Kurzmeldung

In 14 Tagen, am 11. September 2026, werden nach Art. 71 Abs. 2 Unterabs. 2 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) die Meldepflichten des Art. 14 CRA anwendbar. Hersteller von Produkten mit digitalen Elementen müssen ab diesem Tag aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Das BSI bestätigt den Stichtag auf seiner Themenseite zum Cyber Resilience Act. Diese Meldung ist die 14-Tage-Erinnerung; die 30-Tage-Schwelle wurde am 14.08.2026 ausgelöst.

Kernfakten

PunktWert
Datum2026-09-11 (Anwendungsbeginn der Meldepflichten)
Gericht/InstitutionEuropäische Union; in Deutschland BSI als Marktüberwachungsbehörde
AktenzeichenVerordnung (EU) 2024/2847, CELEX:32024R2847
RechtsgrundlageArt. 14 CRA (Meldepflichten der Hersteller), Art. 16 CRA (einheitliche Meldeplattform), Art. 71 Abs. 2 Unterabs. 2 CRA (Anwendungsbeginn)
Restlaufzeit14 Tage (Stand 28.08.2026)
WirkungMeldepflichten anwendbar ab 11.09.2026; übrige Hauptpflichten des CRA ab 11.12.2027

Was das bedeutet

Ab dem 11. September 2026 greift für Hersteller vernetzter Produkte ein dreistufiges Meldeverfahren nach Art. 14 CRA: Frühwarnung innerhalb von 24 Stunden ab Kenntniserlangung, Meldung innerhalb von 72 Stunden und Abschlussbericht — bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, bei schwerwiegenden Sicherheitsvorfällen innerhalb eines Monats nach der 72-Stunden-Meldung (Art. 14 Abs. 2 und Abs. 4 CRA). Adressaten sind gleichzeitig die ENISA und das nach Art. 14 Abs. 7 CRA als Koordinator benannte CSIRT, und zwar über die einheitliche Meldeplattform nach Art. 16 CRA. Nach Art. 64 Abs. 2 CRA drohen bei Verstößen gegen Art. 14 Geldbußen von bis zu 15 000 000 Euro oder – bei Unternehmen – bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist.

Zwei Wochen sind knapp für den Aufbau eines belastbaren Prozesses, aber sie reichen für das Wesentliche: benannte Zuständige mit Vertretungsregelung, ein Eskalationsweg, der auch nachts und am Wochenende trägt, hinterlegte Kontaktdaten der Meldestellen und eine geübte Entscheidung darüber, wann eine Schwachstelle als „aktiv ausgenutzt" gilt. Die 24-Stunden-Frist lässt sich nicht improvisieren. Wer über die Meldeplattform melden will, braucht zudem ein EU-Login-Konto; die Berechtigung wird anschließend vom Koordinator-CSIRT validiert.

Ein verbreiteter Irrtum bleibt die Annahme, der CRA werde erst 2027 relevant. Die produktbezogenen Hauptpflichten – Konformität mit den grundlegenden Cybersicherheitsanforderungen, Schwachstellenbehandlung über den Lebenszyklus, Transparenzpflichten – gelten tatsächlich erst ab dem 11. Dezember 2027. Die Meldepflichten greifen jedoch über ein Jahr früher, und sie treffen auch Hersteller, deren Produkte längst am Markt sind.

Für vertiefte Information

Quelle

Stand