Nexvyra

← Alle News · Frist · Ereignis: 2026-09-11 · Publiziert: 2026-09-04

Frist 11.09.2026 – noch 7 Tage bis zu den CRA-Meldepflichten für Hersteller

Kurzmeldung

In 7 Tagen, am 11. September 2026, werden nach Art. 71 Abs. 2 Unterabs. 2 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) die Meldepflichten des Art. 14 CRA anwendbar. Hersteller von Produkten mit digitalen Elementen müssen ab diesem Tag jede aktiv ausgenutzte Schwachstelle und jeden schwerwiegenden Sicherheitsvorfall melden — gleichzeitig an die ENISA und das zuständige CSIRT. Dies ist die letzte Erinnerungsschwelle vor dem Stichtag; die 30-Tage-Schwelle wurde am 14.08.2026, die 14-Tage-Schwelle am 28.08.2026 ausgelöst.

Kernfakten

PunktWert
Datum2026-09-11 (Anwendungsbeginn der Meldepflichten)
Gericht/InstitutionEuropäische Union; in Deutschland BSI als Marktüberwachungsbehörde
AktenzeichenVerordnung (EU) 2024/2847, CELEX:32024R2847
RechtsgrundlageArt. 14 CRA (Meldepflichten der Hersteller), Art. 16 CRA (einheitliche Meldeplattform), Art. 71 Abs. 2 Unterabs. 2 CRA (Anwendungsbeginn)
Restlaufzeit7 Tage (Stand 04.09.2026)
WirkungMeldepflichten anwendbar ab 11.09.2026; übrige Hauptpflichten des CRA ab 11.12.2027

Was das bedeutet

Ab dem 11. September 2026 gilt für Hersteller vernetzter Produkte ein dreistufiges Meldeverfahren nach Art. 14 CRA: Frühwarnung innerhalb von 24 Stunden ab Kenntniserlangung, Meldung innerhalb von 72 Stunden und Abschlussbericht — bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, bei schwerwiegenden Sicherheitsvorfällen innerhalb eines Monats nach der 72-Stunden-Meldung (Art. 14 Abs. 2 und Abs. 4 CRA). Empfänger sind gleichzeitig die ENISA und das nach Art. 14 Abs. 7 CRA als Koordinator benannte CSIRT, und zwar über die einheitliche Meldeplattform nach Art. 16 CRA.

In der letzten Woche vor dem Stichtag geht es nicht mehr um Prozessdesign, sondern um Betriebsbereitschaft. Drei Punkte entscheiden darüber, ob die 24-Stunden-Frist im Ernstfall gehalten werden kann: Erstens das EU-Login-Konto für die Meldeplattform — die Berechtigung wird nach der Registrierung noch vom Koordinator-CSIRT validiert, das kostet Zeit. Zweitens eine namentlich benannte Rufbereitschaft mit Vertretungsregelung, die auch nachts und am Wochenende erreichbar ist; eine Schwachstelle, die Freitagabend bekannt wird, ist Samstagabend zu melden. Drittens eine vorab getroffene, dokumentierte Entscheidungsregel dafür, wann eine Schwachstelle als „aktiv ausgenutzt" im Sinne von Art. 3 Nr. 42 CRA gilt — nämlich dann, wenn verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigners ausgenutzt hat.

Besonders zu beachten bleibt Art. 69 Abs. 3 CRA: Die Meldepflichten des Art. 14 gelten abweichend von der allgemeinen Übergangsregel auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden. Wer also darauf setzt, der CRA betreffe zunächst nur Neuprodukte, unterliegt einem Irrtum: Ab dem 11.09.2026 ist der gesamte bereits ausgelieferte Bestand erfasst. Nach Art. 64 Abs. 2 CRA drohen bei Verstößen gegen Art. 14 Geldbußen von bis zu 15 000 000 Euro oder — bei Unternehmen — bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist.

Für vertiefte Information

Quelle

Stand