Die Meldepflicht nach dem Cyber Resilience Act

Seit dem 11. September 2026 müssen Hersteller zwei Dinge melden: aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines Produkts betreffen. Die erste Meldung, die Frühwarnung, ist innerhalb von 24 Stunden fällig, nachdem Sie davon erfahren. Gemeldet wird über die einheitliche Meldeplattform der ENISA, der EU-Agentur für Cybersicherheit.

Die Regeln stehen in Artikel 14 des Cyber Resilience Act (CRA), offiziell Cyberresilienz-Verordnung, Verordnung (EU) 2024/2847. Sie gelten auch für Produkte, die Sie schon vor Dezember 2027 verkauft haben (Artikel 69 Absatz 3).

Was meldepflichtig ist

Eine aktiv ausgenutzte Schwachstelle. Gemeint ist eine Lücke in Ihrem Produkt, die jemand tatsächlich angreift. Eine bloß bekannte Schwachstelle mit CVE-Nummer reicht dafür nicht. Erst der Hinweis auf echte Ausnutzung löst die Meldung aus.

Ein schwerwiegender Sicherheitsvorfall. Artikel 14 Absatz 5 nennt zwei Fälle. Entweder der Vorfall beeinträchtigt die Fähigkeit des Produkts, wichtige Daten oder Funktionen zu schützen (Verfügbarkeit, Echtheit, Integrität, Vertraulichkeit). Oder er hat dazu geführt, dass Schadcode in das Produkt oder in die Systeme eines Nutzers gelangt, oder könnte dazu führen. Ein kompromittierter Update-Server wäre so ein Fall.

Die Fristen

Schritt	Aktiv ausgenutzte Schwachstelle	Schwerwiegender Sicherheitsvorfall
Frühwarnung	24 Stunden nach Kenntnis (Art. 14 Abs. 2 Buchst. a)	24 Stunden nach Kenntnis (Art. 14 Abs. 4 Buchst. a)
Meldung	72 Stunden nach Kenntnis (Art. 14 Abs. 2 Buchst. b)	72 Stunden nach Kenntnis (Art. 14 Abs. 4 Buchst. b)
Abschlussbericht	14 Tage, nachdem eine Korrektur oder Abhilfe verfügbar ist (Art. 14 Abs. 2 Buchst. c)	1 Monat nach der Meldung (Art. 14 Abs. 4 Buchst. c)

Die Uhr startet, wenn Sie Kenntnis erlangen. Nicht, wenn der Patch fertig ist. Fällt die Nachricht am Freitagabend ins Postfach, endet die 24-Stunden-Frist am Samstagabend.

Was in jede Meldung gehört

Frühwarnung. Kurz. Bei einer Schwachstelle nennen Sie, soweit bekannt, die Mitgliedstaaten, in denen Ihr Produkt verkauft wurde. Bei einem Vorfall sagen Sie zusätzlich, ob Sie einen rechtswidrigen oder böswilligen Hintergrund vermuten.

Meldung nach 72 Stunden. Allgemeine Angaben zum Produkt, zur Art der Ausnutzung oder des Vorfalls, zu den Maßnahmen, die Sie schon ergriffen haben, und zu dem, was Nutzer selbst tun können. Sie dürfen angeben, wie sensibel Sie die Informationen einschätzen.

Abschlussbericht. Bei einer Schwachstelle: Beschreibung mit Schweregrad und Auswirkung, Informationen über den Angreifer, falls bekannt, und Details zum Sicherheitsupdate. Bei einem Vorfall: eine genaue Beschreibung, die wahrscheinliche Ursache und die laufenden Gegenmaßnahmen.

Haben Sie eine Angabe schon in einer früheren Meldung gemacht, müssen Sie sie nicht wiederholen. Das CSIRT darf außerdem einen Zwischenbericht anfordern (Artikel 14 Absatz 6).

Wohin die Meldung geht

Sie melden über die einheitliche Meldeplattform nach Artikel 16. Die Meldung geht an das CSIRT, also das IT-Notfallteam, das in dem Mitgliedstaat als Koordinator benannt ist, in dem Sie Ihre Hauptniederlassung haben. Die ENISA sieht sie gleichzeitig (Artikel 14 Absatz 7).

Hauptniederlassung ist dort, wo Sie überwiegend über die Cybersicherheit Ihrer Produkte entscheiden. Für ein Unternehmen mit Sitz und Entwicklung in Deutschland ist das Deutschland.

Die Plattform läuft seit dem 11. September 2026 in einer Basisversion und hat keine Maschinenschnittstelle. Jede Meldung tippen oder kopieren Sie also selbst in das Formular. Mehr zur Plattform bei der ENISA.

Die Nutzer informieren

Melden allein reicht nicht. Artikel 14 Absatz 8 verlangt, dass Sie die betroffenen Nutzer informieren, wo nötig mit Hinweisen, was sie selbst tun können. Tun Sie das nicht rechtzeitig, darf das CSIRT die Nutzer selbst informieren.

Eine Erleichterung für kleine Unternehmen

Kleinst- und Kleinunternehmen bekommen kein Bußgeld, wenn sie die 24-Stunden-Frist für die Frühwarnung verpassen (Artikel 64 Absatz 10 Buchstabe a). Das ist die einzige Erleichterung hier. Die 72-Stunden-Meldung, der Abschlussbericht und die Information der Nutzer gelten unverändert, und auch die Frühwarnung bleibt Pflicht. Nur das Bußgeld für die Verspätung entfällt.

Wie Sie sich vorbereiten

Die meisten Teams scheitern nicht am Formular, sondern an der Frage, ob sie überhaupt betroffen sind. Wenn am Montag eine Lücke in einer verbreiteten Bibliothek als aktiv ausgenutzt gilt, müssen Sie schnell wissen, ob diese Bibliothek in Ihrer Firmware steckt und in welcher Version.

Drei Dinge helfen:

• eine aktuelle Stückliste (SBOM) für jede ausgelieferte Version, siehe den Ratgeber zur SBOM;
• eine Person, die Meldungen auslöst, mit Vertretung für Urlaub und Wochenende;
• vorbereitete Textbausteine für Frühwarnung, Meldung und Nutzerinformation, damit in den 24 Stunden niemand bei null anfängt.

Ihre Kontaktadresse für Schwachstellenmeldungen gehört ebenfalls dazu (Artikel 13 Absatz 17). Ohne sie erfahren Sie vielleicht als Letzte von einem Problem.

Was Proofsheet hier erstellt

Proofsheet ist eine Web-App. Sie liest Ihre Firmware oder App automatisch, listet die Bestandteile und markiert Lücken, die auf der CISA-Liste aktiv ausgenutzter Schwachstellen stehen. Das Paket „The Paperwork“ (249 €) enthält eine Anleitung zu den Meldungen nach Artikel 14.

Watchdog ist ein Software-Abo und geht weiter: Es scannt jede neue Version erneut und schickt eine E-Mail, wenn ein Bauteil aus Ihrer Liste aktiv ausgenutzt wird. Dazu erstellt das 24-Stunden-Kit vorausgefüllte Entwürfe für Frühwarnung, 72-Stunden-Meldung, Abschlussbericht und Nutzerinformation. Die App meldet nichts für Sie. Sie prüfen die Texte und senden sie selbst auf der Plattform der ENISA ab. Watchdog kostet 79 € pro Monat und startet bald: mehr zu Watchdog.

Proofsheet liefert technische Nachweise, kein rechtliches Zertifikat. Passend dazu: die Fristen und die Bußgelder.