CRA-Meldepflicht ab 11. September 2026: Was Hersteller vernetzter Produkte jetzt tun müssen
Am 11. September 2026 startet die erste verbindliche Pflicht aus dem Cyber Resilience Act (CRA, Verordnung EU 2024/2847): die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Das ist kein Ausblick auf eine ferne Zukunft — bis dahin sind es noch fünf Wochen.
Was am 11. September 2026 in Kraft tritt
Artikel 14 der Verordnung verpflichtet Hersteller, Importeure und Inverkehrbringer von Produkten mit digitalen Elementen, aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle nach folgenden Fristen zu melden:
- 24 Stunden: Frühwarnung (Erstmeldung) an die ENISA Single Reporting Platform
- 72 Stunden: Detailbericht — Produkt, betroffene Version, Art der Schwachstelle, ergriffene oder geplante Gegenmaßnahmen
- 14 Tage: Abschlussbericht nach Bereitstellung des Sicherheits-Patches (bei schweren Sicherheitsvorfällen: ein Monat)
Der Ablauf ist auf eine einzige Meldung ausgelegt: Hersteller übermitteln die Information an die ENISA Single Reporting Platform (SRP). Diese verteilt sie automatisch an das BSI (als zuständige nationale Behörde für Deutschland) und an alle nationalen CSIRTs der EU-Länder, in denen das betroffene Produkt verfügbar ist.
Wer betroffen ist
Die Meldepflicht gilt für alle Hersteller von Produkten mit digitalen Elementen — unabhängig von der Unternehmensgröße und unabhängig davon, ob der Sitz des Unternehmens innerhalb oder außerhalb der EU liegt. Entscheidend ist allein, ob das Produkt im EU-Markt in Verkehr gebracht wird.
Betroffene Produktkategorien umfassen unter anderem:
- Smart-Home-Geräte und Heimautomationskomponenten
- Router, Switches, Firewalls
- IP-Kameras, Zugangskontrollsysteme, intelligente Türschlösser
- IoT-Sensoren und vernetzte Maschinen
- Wearables, Babyphones, Smart-TVs
- Software-Produkte mit vernetzten Elementen
Eine generelle Ausnahme für kleine und mittlere Unternehmen gibt es nicht. Der CRA enthält KMU-Unterstützungsmaßnahmen — ENISA-Helpdesk, Leitfäden, vereinfachte Dokumentationspflichten — aber keine Befreiung von der Meldepflicht selbst.
Was die 24-Stunden-Frist in der Praxis bedeutet
Die Erstmeldung innerhalb von 24 Stunden ist kein vollständiger Analyse- oder Lösungsbericht. Es geht darum, die zuständigen Stellen schnell in Kenntnis zu setzen, sobald eine aktiv ausgenutzte Schwachstelle bekannt wird. Dennoch erfordert diese Frist, dass im Unternehmen bereits vor dem 11. September Folgendes funktioniert:
- Vulnerability-Tracking: Ein Prozess, der eingehende Sicherheitsmeldungen, Bug-Reports und externe Hinweise auf aktiv ausgenutzte Schwachstellen systematisch erfasst und klassifiziert
- Eskalationspfad: Eine klare interne Zuständigkeit — wer entscheidet, ob eine Schwachstelle unter die CRA-Meldepflicht fällt, und wer meldet
- Zugang zur ENISA-Plattform: Die SRP soll bis zum Stichtag betriebsbereit sein; Hersteller sollten prüfen, ob die Plattform in ihre internen Prozesse integriert werden kann
- Meldevorlage: Ein vorbereitetes Formular oder eine Dokumentstruktur für die Erstmeldung spart bei echtem Incident-Druck Zeit
Wer diese Strukturen nicht bis zum 11. September aufgebaut hat, kann die 24-Stunden-Frist im Ernstfall nicht einhalten.
Die Sanktionsstufe bei Verstößen
Artikel 64 der Verordnung sieht für Verstöße gegen die Meldepflichten nach Artikel 14 Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor — je nachdem, welcher Betrag höher ist. Das ist die höchste Sanktionsstufe des CRA.
Einordnung: Meldepflicht versus CE-Pflicht
Die CRA-Meldepflicht ist bewusst als frühe Stufe vor dem eigentlichen CE-Regime konzipiert. Die vollständige CE-Pflicht — also Sicherheitsanforderungen nach Anhang I, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung — greift erst ab dem 11. Dezember 2027. Wer jetzt Meldeprozesse einrichtet, beginnt damit aber auch, die organisatorischen Grundlagen für die spätere CE-Konformität zu legen.
Melde dich für die Macher-Session an: macher-mentor.de
Häufige Fragen
Wer muss ab dem 11. September 2026 nach dem CRA Schwachstellen melden?+
Was genau muss innerhalb von 24 Stunden gemeldet werden?+
Wohin genau wird die Meldung geschickt und wie funktioniert das Verfahren?+
Was passiert bei Verstößen gegen die CRA-Meldepflicht?+
Gilt die Meldepflicht auch für die CE-Kennzeichnung ab 2027?+
Du willst wissen, was das für deinen Betrieb bedeutet?
In der Macher-Session sprechen wir über genau solche Themen — konkret, ohne Theorie-Kurs.
Melde dich für die Macher-Session an- VO (EU) 2024/2847 — Cyber Resilience Act, EUR-Lex
- CRA Reporting Obligations — EU-Kommission digital-strategy.ec.europa.eu
- Cyber Resilience Act — BSI.bund.de
Hinweis: Allgemeine Einordnung, keine Rechtsberatung im Einzelfall. Stand: 7. August 2026.