---
title: Frist 11.09.2026 – noch 7 Tage bis zu den CRA-Meldepflichten für Hersteller
slug: 2026-09-04-frist-cra-meldepflicht-7-tage-11-09-2026
type: news
news_type: frist
topic: datenschutz
event_date: 2026-09-11
published: 2026-09-04
authority_level: A
license: CC-BY-4.0
url: https://nexvyra.de/news/2026-09-04-frist-cra-meldepflicht-7-tage-11-09-2026.md
source_primary: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act.html
source_permalink: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
related_topics: [cra-meldepflichten-art-14, cyber-resilience-act-cra]
factcheck_status: ok
---

# Frist 11.09.2026 – noch 7 Tage bis zu den CRA-Meldepflichten für Hersteller

## Kurzmeldung

In **7 Tagen, am 11. September 2026**, werden nach **Art. 71 Abs. 2 Unterabs. 2 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA)** die **Meldepflichten des Art. 14 CRA** anwendbar. Hersteller von Produkten mit digitalen Elementen müssen ab diesem Tag jede **aktiv ausgenutzte Schwachstelle** und jeden **schwerwiegenden Sicherheitsvorfall** melden — gleichzeitig an die ENISA und das zuständige CSIRT. Dies ist die **letzte Erinnerungsschwelle** vor dem Stichtag; die 30-Tage-Schwelle wurde am 14.08.2026, die 14-Tage-Schwelle am 28.08.2026 ausgelöst.

## Kernfakten

| Punkt | Wert |
|---|---|
| Datum | 2026-09-11 (Anwendungsbeginn der Meldepflichten) |
| Gericht/Institution | Europäische Union; in Deutschland BSI als Marktüberwachungsbehörde |
| Aktenzeichen | Verordnung (EU) 2024/2847, CELEX:32024R2847 |
| Rechtsgrundlage | Art. 14 CRA (Meldepflichten der Hersteller), Art. 16 CRA (einheitliche Meldeplattform), Art. 71 Abs. 2 Unterabs. 2 CRA (Anwendungsbeginn) |
| Restlaufzeit | 7 Tage (Stand 04.09.2026) |
| Wirkung | Meldepflichten anwendbar ab 11.09.2026; übrige Hauptpflichten des CRA ab 11.12.2027 |

## Was das bedeutet

Ab dem 11. September 2026 gilt für **Hersteller vernetzter Produkte** ein dreistufiges Meldeverfahren nach Art. 14 CRA: **Frühwarnung innerhalb von 24 Stunden** ab Kenntniserlangung, **Meldung innerhalb von 72 Stunden** und **Abschlussbericht** — bei Schwachstellen **spätestens 14 Tage**, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, bei schwerwiegenden Sicherheitsvorfällen **innerhalb eines Monats** nach der 72-Stunden-Meldung (Art. 14 Abs. 2 und Abs. 4 CRA). Empfänger sind **gleichzeitig** die **ENISA** und das nach Art. 14 Abs. 7 CRA als Koordinator benannte **CSIRT**, und zwar über die einheitliche Meldeplattform nach Art. 16 CRA.

In der letzten Woche vor dem Stichtag geht es nicht mehr um Prozessdesign, sondern um Betriebsbereitschaft. Drei Punkte entscheiden darüber, ob die 24-Stunden-Frist im Ernstfall gehalten werden kann: Erstens das **EU-Login-Konto** für die Meldeplattform — die Berechtigung wird nach der Registrierung noch vom Koordinator-CSIRT validiert, das kostet Zeit. Zweitens eine **namentlich benannte Rufbereitschaft mit Vertretungsregelung**, die auch nachts und am Wochenende erreichbar ist; eine Schwachstelle, die Freitagabend bekannt wird, ist Samstagabend zu melden. Drittens eine vorab getroffene, dokumentierte Entscheidungsregel dafür, wann eine Schwachstelle als „aktiv ausgenutzt" im Sinne von **Art. 3 Nr. 42 CRA** gilt — nämlich dann, wenn verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigners ausgenutzt hat.

Besonders zu beachten bleibt **Art. 69 Abs. 3 CRA**: Die Meldepflichten des Art. 14 gelten abweichend von der allgemeinen Übergangsregel **auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden**. Wer also darauf setzt, der CRA betreffe zunächst nur Neuprodukte, unterliegt einem Irrtum: Ab dem 11.09.2026 ist der gesamte bereits ausgelieferte Bestand erfasst. Nach **Art. 64 Abs. 2 CRA** drohen bei Verstößen gegen Art. 14 Geldbußen von bis zu **15 000 000 Euro** oder — bei Unternehmen — bis zu **2,5 % des gesamten weltweiten Jahresumsatzes** des Vorjahres, je nachdem, welcher Betrag höher ist.

## Für vertiefte Information

- [CRA Art. 14 – Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle](/fakten/cra-meldepflichten-art-14.html)
- [Cyber Resilience Act (CRA) – CE-Pflichten für Produkte mit digitalen Elementen](/fakten/cyber-resilience-act-cra.html)

## Quelle

- Verordnung (EU) 2024/2847 (Cyber Resilience Act), ELI-Permalink: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
- BSI, Themenseite „Cyber Resilience Act" mit Zeitplan (Stichtag 11.09.2026): https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act.html

## Stand

- News-Publikation: 2026-09-04
- Ereignis-Datum: 2026-09-11
- Rechtsbereich: Datenschutz & IT-Compliance
- Autorität: A
- Lizenz: CC BY 4.0