CRA-Meldepflicht für Hersteller: Was ab dem 11. September 2026 gilt

Am 11. September 2026 wird die erste operative Pflicht aus dem Cyber Resilience Act scharf: Hersteller von Produkten mit digitalen Elementen müssen ab diesem Tag aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden — innerhalb von 24 Stunden eine Frühwarnung, innerhalb von 72 Stunden eine Meldung, danach einen Abschlussbericht. Gemeldet wird über die einheitliche Meldeplattform der ENISA. Und anders als bei den übrigen CRA-Pflichten gibt es hier keine Schonfrist für den Altbestand: Art. 14 gilt auch für Produkte, die längst im Markt sind.

Wenn Sie heute noch keinen benannten Meldeprozess haben, ist das die dringlichste Baustelle Ihres Produktbereichs.

Warum ausgerechnet der 11. September 2026

Der Cyber Resilience Act — die Verordnung (EU) 2024/2847 — gilt nach Art. 71 Abs. 2 grundsätzlich erst ab dem 11. Dezember 2027. Zwei Ausnahmen zieht die Verordnung vor:

Datum	Was gilt
11. Juni 2026	Kapitel IV (Art. 35 bis 51): Notifizierung von Konformitätsbewertungsstellen
11. September 2026	Art. 14: Meldepflichten der Hersteller
11. Dezember 2027	die Verordnung vollständig — grundlegende Anforderungen, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung

Der Gesetzgeber hat die Meldepflicht bewusst vorgezogen: Die Behörden sollen früh sehen, was im Markt tatsächlich ausgenutzt wird, statt erst Ende 2027 damit anzufangen.

Wer melden muss

Adressat ist der Hersteller. Das ist mehr als die Firma, in deren Werk das Gerät entsteht:

Hersteller im engeren Sinn — wer ein Produkt mit digitalen Elementen entwickelt oder herstellen lässt und unter eigenem Namen vermarktet.
Einführer und Händler, die ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen oder eine wesentliche Änderung an einem bereits in Verkehr gebrachten Produkt vornehmen — sie gelten nach Art. 21 CRA als Hersteller und unterliegen Art. 13 und 14 in vollem Umfang.
Jede andere Person, die eine wesentliche Änderung vornimmt und das Produkt bereitstellt (Art. 22 CRA) — begrenzt auf den geänderten Teil, bei Auswirkungen auf die Cybersicherheit des Gesamtprodukts auf das ganze Produkt.

„Produkt mit digitalen Elementen” ist dabei weit gefasst: ein Software- oder Hardwareprodukt einschließlich seiner Datenfernverarbeitungslösungen und einschließlich getrennt in Verkehr gebrachter Software- oder Hardwarekomponenten. Ob Sie überhaupt in den Anwendungsbereich fallen, klärt unser Beitrag Cyber Resilience Act: Bin ich betroffen?.

Zwei Meldetatbestände — und sie sind nicht dasselbe

Art. 14 kennt zwei getrennte Auslöser mit getrennten Fristenketten.

1. Aktiv ausgenutzte Schwachstelle (Art. 14 Abs. 1 und 2). Nach der Definition in Art. 3 CRA ist das eine Schwachstelle, „zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat”. Entscheidend ist der Nachweis der tatsächlichen Ausnutzung — eine theoretisch ausnutzbare Lücke aus dem eigenen Pentest löst Art. 14 Abs. 1 nicht aus.

2. Schwerwiegender Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit (Art. 14 Abs. 3 und 4). Schwerwiegend ist ein Vorfall nach Art. 14 Abs. 5, wenn er

sich negativ auf die Fähigkeit des Produkts auswirkt oder auswirken kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder
zur Einführung oder Ausführung von Schadcode im Produkt oder im Netz- und Informationssystem eines Nutzers geführt hat oder führen kann.

Auch hier reicht die Möglichkeit — „auswirken kann”, „führen kann”. Die Schwelle liegt niedriger, als viele Hersteller annehmen.

Die Fristen im Detail

Stufe	Aktiv ausgenutzte Schwachstelle (Art. 14 Abs. 2)	Schwerwiegender Vorfall (Art. 14 Abs. 4)
Frühwarnung	unverzüglich, spätestens 24 Stunden nach Kenntniserlangung: Angabe der Mitgliedstaaten, in deren Hoheitsgebiet das Produkt bereitgestellt wurde	unverzüglich, spätestens 24 Stunden nach Kenntniserlangung: mindestens die Angabe, ob der Verdacht rechtswidriger oder böswilliger Handlungen besteht, gegebenenfalls betroffene Mitgliedstaaten
Meldung	unverzüglich, spätestens 72 Stunden: betroffenes Produkt, allgemeine Art der Ausnutzung und der Schwachstelle, ergriffene Korrektur- oder Risikominderungsmaßnahmen, Maßnahmen für Nutzer, gegebenenfalls Sensibilitätseinstufung	unverzüglich, spätestens 72 Stunden: Art des Vorfalls, erste Bewertung, ergriffene Korrektur- oder Risikominderungsmaßnahmen, Maßnahmen für Nutzer, gegebenenfalls Sensibilitätseinstufung
Abschlussbericht	spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht: Beschreibung der Schwachstelle mit Schweregrad und Auswirkungen, verfügbare Informationen über den böswilligen Akteur, Informationen zur Sicherheitsaktualisierung	innerhalb eines Monats nach der 72-Stunden-Meldung: ausführliche Beschreibung mit Schweregrad und Auswirkungen, Art der Bedrohung bzw. zugrunde liegende Ursache, getroffene und laufende Abhilfemaßnahmen
Zwischenbericht	auf Anforderung des koordinierenden CSIRT (Art. 14 Abs. 6)	auf Anforderung des koordinierenden CSIRT (Art. 14 Abs. 6)

Der wichtigste Unterschied steht in der letzten Zeile der Abschlussberichte: Bei der Schwachstelle läuft die Frist ab dem Zeitpunkt, zu dem ein Fix verfügbar ist — 14 Tage. Beim Vorfall läuft sie ab der 72-Stunden-Meldung — ein Monat. Wer beide Ketten in einem Prozess zusammenwirft, verpasst zwangsläufig eine davon.

Hinzu kommt eine Pflicht, die keine Meldung an Behörden ist, aber dieselbe Kenntnis auslöst: Nach Art. 14 Abs. 8 müssen Hersteller die betroffenen Nutzer über die Schwachstelle oder den Vorfall informieren und, soweit erforderlich, über Maßnahmen, die diese selbst ergreifen können — nach Möglichkeit in einem strukturierten, maschinenlesbaren Format. Unterbleibt das rechtzeitig, dürfen die koordinierenden CSIRTs die Nutzer selbst informieren.

Der Meldeweg: Single Reporting Platform der ENISA

Gemeldet wird nicht per E-Mail an eine Behörde, sondern über die einheitliche Meldeplattform nach Art. 16 CRA. Die ENISA richtet sie ein und betreibt sie; Mitgliedstaaten und ENISA hängen eigene elektronische Endpunkte daran.

Die Zuordnung regelt Art. 14 Abs. 7: Die Meldung läuft über den Endpunkt des koordinierenden CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat, und ist gleichzeitig für die ENISA zugänglich. Hauptniederlassung ist der Mitgliedstaat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden; lässt sich das nicht bestimmen, zählt die Niederlassung mit der höchsten Beschäftigtenzahl in der Union. Hersteller ohne Niederlassung in der Union arbeiten die Kaskade in Art. 14 Abs. 7 UAbs. 3 ab: Bevollmächtigter, Einführer, Händler, Nutzerschwerpunkt.

Das empfangende CSIRT leitet die Meldung über die Plattform an die CSIRTs der Mitgliedstaaten weiter, in denen das Produkt bereitgestellt wurde (Art. 16 Abs. 2). In eng begrenzten Ausnahmefällen — etwa während einer koordinierten Schwachstellenoffenlegung — kann die Weiterverbreitung aus Cybersicherheitsgründen befristet zurückgehalten werden.

Stand der Dinge: Das BSI beschreibt die Plattform Ende Juni 2026 als „im Aufbau befindlich”. Für Hersteller heißt das: Den Zugang jetzt klären, statt am 11. September zum ersten Mal nachzusehen.

Die Rolle des BSI

Für Deutschland hat die Bundesregierung das BSI der Europäischen Kommission als notifizierende und marktüberwachende Behörde benannt. In dieser Rolle bewertet und notifiziert das BSI Konformitätsbewertungsstellen, prüft Produkte aktiv und reaktiv und kann Produkte vom Markt nehmen lassen sowie Bußgelder verhängen. Seit März 2026 führt das BSI zudem den Vorsitz der europäischen Marktüberwachungsgruppe AdCo CRA; am 25. Juni 2026 tagte diese in Berlin, unter anderem zur Zusammenarbeit mit den koordinierenden CSIRTs.

Wichtig für die Praxis ist die Rollentrennung: Die Marktüberwachung prüft und sanktioniert, die koordinierenden CSIRTs nehmen die Meldungen nach Art. 14 entgegen. Beides sind verschiedene Funktionen, auch wenn sie in einem Mitgliedstaat bei derselben Behörde liegen können. Wer den koordinierenden CSIRT-Endpunkt für Deutschland ansteuern muss, ergibt sich aus dem nationalen Durchführungsrecht zum CRA; ein Gesetzentwurf des Bundesinnenministeriums liegt vor. Verlassen Sie sich deshalb nicht auf Hörensagen, sondern prüfen Sie den Endpunkt kurz vor dem Stichtag auf den Seiten von ENISA und BSI.

Altbestand: keine Schonfrist bei Art. 14

Die Übergangsregelung in Art. 69 CRA ist der Punkt, an dem sich viele Hersteller verrechnen. Sie lautet in der Sache:

Art. 69 Abs. 2: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen der Verordnung nur, wenn sie nach diesem Zeitpunkt wesentlich geändert werden.
Art. 69 Abs. 3: Abweichend davon gelten die Pflichten aus Art. 14 für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.

Im Klartext: Für Ihren Bestand an ausgelieferten Geräten und installierter Software müssen Sie ab dem 11. September 2026 melden — auch wenn diese Produkte nie CE-gekennzeichnet nach CRA werden und nie eine CRA-Konformitätsbewertung durchlaufen. Das trifft insbesondere Maschinenbauer, Medizintechnik- und Elektronikhersteller mit langen Produktlebenszyklen.

Damit Sie überhaupt melden können, brauchen Sie zwei Dinge, die vorher da sein müssen: einen Kanal, über den Schwachstellenmeldungen Sie erreichen, und ein Verzeichnis, welches Produkt in welchen Mitgliedstaaten bereitgestellt wurde — Art. 14 Abs. 2 Buchst. a verlangt genau diese Angabe schon in der Frühwarnung.

Bußgelder

Verstoß	Rahmen
Verstöße gegen Art. 13 oder Art. 14 sowie gegen die grundlegenden Anforderungen in Anhang I	bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2)
Verstöße gegen die Pflichten der übrigen Wirtschaftsakteure (u. a. Art. 18 bis 23)	bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 64 Abs. 3)
falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder Marktüberwachungsbehörden	bis 5 Mio. € oder 1 % des weltweiten Jahresumsatzes (Art. 64 Abs. 4)

Bei der Bemessung sind nach Art. 64 Abs. 5 Art, Schwere und Dauer des Verstoßes sowie ausdrücklich Größe und Marktanteil des Wirtschaftsakteurs zu berücksichtigen — Kleinstunternehmen, kleine und mittlere Unternehmen einschließlich Start-ups sind dabei eigens genannt. Art. 64 Abs. 10 nimmt Kleinst- und Kleinunternehmen in Bezug auf die Nichteinhaltung der 24-Stunden-Frist von den in Art. 64 Abs. 3 bis 9 genannten Geldbußen aus; Verwalter quelloffener Software sind von den Geldbußen der Verordnung insgesamt ausgenommen.

Was bis zum 11. September stehen muss

Produktinventar mit Marktzuordnung. Welche Produkte mit digitalen Elementen haben Sie in Verkehr gebracht — und in welchen EU-Mitgliedstaaten? Ohne diese Liste können Sie die Frühwarnung nach Art. 14 Abs. 2 Buchst. a nicht ausfüllen.
Eingangskanal für Schwachstellenmeldungen. Eine erreichbare Adresse (security.txt, Kontaktseite, Coordinated-Vulnerability-Disclosure-Policy) und eine Person, die sie täglich liest. Was Sie nicht erfahren, können Sie nicht melden — aber „nicht gewusst” schützt nur, solange es stimmt.
Triage-Kriterien schriftlich. Wann gilt eine Schwachstelle bei Ihnen als aktiv ausgenutzt, wann ein Vorfall als schwerwiegend nach Art. 14 Abs. 5? Vorab entscheiden, nicht im Ernstfall.
Zugang zur Meldeplattform geklärt. Zuständiges koordinierendes CSIRT bestimmt (Hauptniederlassung nach Art. 14 Abs. 7), Registrierung und Zugangsdaten vorbereitet, Vertretung benannt.
Zwei Fristenketten im Prozess abgebildet. 24 h / 72 h / 14 Tage ab Fix für Schwachstellen, 24 h / 72 h / ein Monat ab Meldung für Vorfälle. Mit Wiedervorlagen, nicht im Kopf.
Nutzerinformation vorbereitet. Textbausteine, Verteiler und, wo möglich, ein maschinenlesbares Format nach Art. 14 Abs. 8.
Zuständigkeit benannt. Eine verantwortliche Person plus Vertretung, erreichbar rund um die Uhr — 24 Stunden sind 24 Stunden, auch am Wochenende.

NIS-2 und CRA nebeneinander

Beide Regelwerke verlangen Meldungen in 24 und 72 Stunden — und meinen völlig Verschiedenes. NIS-2 (§ 32 BSIG) reguliert Sie als Betreiber: Sie melden erhebliche Sicherheitsvorfälle in Ihrer eigenen IT an die gemeinsame Meldestelle von BSI und BBK. CRA (Art. 14) reguliert Sie als Hersteller: Sie melden Schwachstellen und Vorfälle in Ihren Produkten über die ENISA-Plattform an das koordinierende CSIRT.

Viele Mittelständler sind beides. Dann brauchen Sie zwei Prozesse, zwei Zugänge und zwei Fristenkalender — und die Erkenntnis, dass ein einziger Angriff beide auslösen kann. Die NIS-2-Seite beschreibt unser Beitrag zur NIS-2-Meldepflicht, den Gesamtrahmen der NIS-2-Überblick.

Ob NIS-2 Sie als Betreiber trifft, klärt unser kostenloser Betroffenheits-Check in zwei Minuten.

Häufige Fragen

Ab wann gilt die CRA-Meldepflicht? Ab dem 11. September 2026. Art. 71 Abs. 2 der Verordnung (EU) 2024/2847 setzt die Geltung der Verordnung insgesamt auf den 11. Dezember 2027, nimmt Artikel 14 aber ausdrücklich vor: Er gilt ab dem 11. September 2026. Kapitel IV zur Notifizierung von Konformitätsbewertungsstellen gilt bereits seit dem 11. Juni 2026.

Gilt die Meldepflicht auch für Produkte, die ich vor 2026 verkauft habe? Ja. Art. 69 Abs. 3 CRA nimmt die Pflichten aus Art. 14 ausdrücklich von der Übergangsregelung aus: Sie gelten für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Für den Altbestand gelten also die Meldepflichten, nicht aber die übrigen Produktanforderungen.

Was ist eine „aktiv ausgenutzte Schwachstelle”? Nach Art. 3 CRA eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat. Eine theoretisch ausnutzbare, aber nicht nachweislich ausgenutzte Schwachstelle löst die Meldepflicht nach Art. 14 Abs. 1 nicht aus.

Wohin wird gemeldet? Über die einheitliche Meldeplattform (Single Reporting Platform), die die ENISA nach Art. 16 CRA einrichtet und betreibt. Die Meldung geht über den elektronischen Endpunkt des koordinierenden CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat, und ist gleichzeitig für die ENISA zugänglich (Art. 14 Abs. 7).

Bin ich als Händler oder Importeur meldepflichtig? Grundsätzlich nicht — es sei denn, Sie bringen ein Produkt unter eigenem Namen oder eigener Marke in Verkehr oder nehmen eine wesentliche Änderung an einem bereits in Verkehr gebrachten Produkt vor. Dann gelten Sie nach Art. 21 CRA als Hersteller und unterliegen den Pflichten aus Art. 13 und 14.

Wie hoch sind die Bußgelder bei Verstößen gegen Art. 14? Bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2 CRA). Art. 64 Abs. 10 nimmt Kleinst- und Kleinunternehmen in Bezug auf die Nichteinhaltung der 24-Stunden-Frist von den in Art. 64 Abs. 3 bis 9 genannten Geldbußen aus; bei der Bemessung sind Größe und Marktanteil ohnehin zu berücksichtigen.

Quellen

Verordnung (EU) 2024/2847 (Cyber Resilience Act), insbesondere Art. 3, 14, 16, 21, 22, 64, 69, 71: eur-lex.europa.eu/eli/reg/2024/2847
BSI, Themenseite Cyber Resilience Act: bsi.bund.de
BSI, Meldung vom 26.06.2026 zum Treffen der CRA-Marktüberwachungsbehörden („Single Reporting Platform” im Aufbau): bsi.bund.de
BSI, Pressemitteilung vom 07.10.2025: BSI wird notifizierende und marktüberwachende Behörde nach CRA: bsi.bund.de

Dieser Beitrag bietet eine erste Orientierung zum Rechtsstand 3. September 2026 und ersetzt keine Rechtsberatung.