---
title: Frist 11.09.2026 – noch 14 Tage bis zu den CRA-Meldepflichten für Hersteller
slug: 2026-08-28-frist-cra-meldepflicht-14-tage-11-09-2026
type: news
news_type: frist
topic: datenschutz
event_date: 2026-09-11
published: 2026-08-28
authority_level: A
license: CC-BY-4.0
url: https://nexvyra.de/news/2026-08-28-frist-cra-meldepflicht-14-tage-11-09-2026.md
source_primary: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act.html
source_permalink: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
related_topics: [cra-meldepflichten-art-14, cyber-resilience-act-cra]
factcheck_status: ok
---

# Frist 11.09.2026 – noch 14 Tage bis zu den CRA-Meldepflichten für Hersteller

## Kurzmeldung

In **14 Tagen, am 11. September 2026**, werden nach **Art. 71 Abs. 2 Unterabs. 2 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA)** die **Meldepflichten des Art. 14 CRA** anwendbar. Hersteller von Produkten mit digitalen Elementen müssen ab diesem Tag **aktiv ausgenutzte Schwachstellen** und **schwerwiegende Sicherheitsvorfälle** melden. Das BSI bestätigt den Stichtag auf seiner Themenseite zum Cyber Resilience Act. Diese Meldung ist die **14-Tage-Erinnerung**; die 30-Tage-Schwelle wurde am 14.08.2026 ausgelöst.

## Kernfakten

| Punkt | Wert |
|---|---|
| Datum | 2026-09-11 (Anwendungsbeginn der Meldepflichten) |
| Gericht/Institution | Europäische Union; in Deutschland BSI als Marktüberwachungsbehörde |
| Aktenzeichen | Verordnung (EU) 2024/2847, CELEX:32024R2847 |
| Rechtsgrundlage | Art. 14 CRA (Meldepflichten der Hersteller), Art. 16 CRA (einheitliche Meldeplattform), Art. 71 Abs. 2 Unterabs. 2 CRA (Anwendungsbeginn) |
| Restlaufzeit | 14 Tage (Stand 28.08.2026) |
| Wirkung | Meldepflichten anwendbar ab 11.09.2026; übrige Hauptpflichten des CRA ab 11.12.2027 |

## Was das bedeutet

Ab dem 11. September 2026 greift für **Hersteller vernetzter Produkte** ein dreistufiges Meldeverfahren nach Art. 14 CRA: **Frühwarnung innerhalb von 24 Stunden** ab Kenntniserlangung, **Meldung innerhalb von 72 Stunden** und **Abschlussbericht** — bei Schwachstellen **spätestens 14 Tage**, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, bei schwerwiegenden Sicherheitsvorfällen **innerhalb eines Monats** nach der 72-Stunden-Meldung (Art. 14 Abs. 2 und Abs. 4 CRA). Adressaten sind **gleichzeitig** die **ENISA** und das nach Art. 14 Abs. 7 CRA als Koordinator benannte **CSIRT**, und zwar über die einheitliche Meldeplattform nach Art. 16 CRA. Nach **Art. 64 Abs. 2 CRA** drohen bei Verstößen gegen Art. 14 Geldbußen von bis zu **15 000 000 Euro** oder – bei Unternehmen – bis zu **2,5 % des gesamten weltweiten Jahresumsatzes** des Vorjahres, je nachdem, welcher Betrag höher ist.

Zwei Wochen sind knapp für den Aufbau eines belastbaren Prozesses, aber sie reichen für das Wesentliche: benannte Zuständige mit Vertretungsregelung, ein Eskalationsweg, der auch nachts und am Wochenende trägt, hinterlegte Kontaktdaten der Meldestellen und eine geübte Entscheidung darüber, wann eine Schwachstelle als „aktiv ausgenutzt" gilt. Die 24-Stunden-Frist lässt sich nicht improvisieren. Wer über die Meldeplattform melden will, braucht zudem ein **EU-Login-Konto**; die Berechtigung wird anschließend vom Koordinator-CSIRT validiert.

Ein verbreiteter Irrtum bleibt die Annahme, der CRA werde erst 2027 relevant. Die produktbezogenen Hauptpflichten – Konformität mit den grundlegenden Cybersicherheitsanforderungen, Schwachstellenbehandlung über den Lebenszyklus, Transparenzpflichten – gelten tatsächlich erst ab dem **11. Dezember 2027**. Die Meldepflichten greifen jedoch über ein Jahr früher, und sie treffen auch Hersteller, deren Produkte längst am Markt sind.

## Für vertiefte Information

- [CRA Art. 14 – Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle](/fakten/cra-meldepflichten-art-14.html)
- [Cyber Resilience Act (CRA) – CE-Pflichten für Produkte mit digitalen Elementen](/fakten/cyber-resilience-act-cra.html)

## Quelle

- Verordnung (EU) 2024/2847 (Cyber Resilience Act), ELI-Permalink: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
- BSI, Themenseite „Cyber Resilience Act" mit Zeitplan (Stichtag 11.09.2026): https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act.html
- BSI, Meldung vom 05.08.2026 (TR-03183-1 als Einstiegshilfe, Bestätigung des Stichtags): https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/2026/TR-03183_Einstiegshilfe_CRA_260805.html

## Stand

- News-Publikation: 2026-08-28
- Ereignis-Datum: 2026-09-11
- Rechtsbereich: Datenschutz & IT-Compliance
- Autorität: A
- Lizenz: CC BY 4.0