CRA-Meldepflichten ab 11. September 2026: 24- und 72-Stunden-Fristen vorbereiten
Ein Hersteller erfährt an einem Freitag von einer aktiv ausgenutzten Schwachstelle im eigenen Produkt. Dann ist nicht nur die technische Behebung wichtig. Ab 11. September 2026 setzt der Cyber…
Unverbindliche Anfrage
Kein Vertrag, keine versteckten Kosten.
Direkter Kontakt
Rückmeldung direkt vom Anbieter — kein Callcenter.
Zeitnahe Antwort
Anfragen werden zügig geprüft und beantwortet.
Ein Hersteller erfährt an einem Freitag von einer aktiv ausgenutzten Schwachstelle im eigenen Produkt. Dann ist nicht nur die technische Behebung wichtig. Ab 11. September 2026 setzt der Cyber Resilience Act für bestimmte Meldungen einen engen zeitlichen Ablauf voraus. Deshalb braucht der Betrieb vor dem ersten echten Fall einen Prozess, der Zuständigkeiten, Bewertung und Dokumentation zusammenführt.
Welche Ereignisse gemeldet werden
Die Berichtspflichten betreffen Hersteller, die von aktiv ausgenutzten Schwachstellen oder schwerwiegenden Vorfällen mit Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen Kenntnis erhalten. Nicht jede allgemeine IT-Störung ist damit automatisch eine CRA-Meldung. Die Entscheidung muss produktbezogen und anhand der gesetzlichen Kriterien getroffen werden. Für die Praxis bedeutet das: Sicherheitsmeldungen müssen schnell zu den Personen gelangen, die technische Lage und Meldepflicht gemeinsam bewerten können.
24 Stunden, 72 Stunden und Abschlussbericht
Nach der EU-Leitseite ist zunächst innerhalb von 24 Stunden nach Kenntniserlangung eine Frühwarnung vorgesehen. Innerhalb von 72 Stunden folgt eine vollständige Meldung. Bei aktiv ausgenutzten Schwachstellen ist ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme vorgesehen; bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung. Diese Fristen machen improvisierte Zuständigkeiten riskant.
Der Meldeprozess beginnt vor dem Vorfall
Ein brauchbarer Ablauf braucht mindestens eine erreichbare interne Anlaufstelle, eine Vertretungsregel, einen Weg zur technischen Erstbewertung und eine Dokumentation darüber, wann welche Information bekannt wurde. Zusätzlich sollte geklärt sein, wie Produktentwicklung, IT-Sicherheit, Geschäftsleitung, Support und gegebenenfalls externe Spezialisten zusammenarbeiten. Lieferanteninformationen können ebenfalls relevant werden, wenn eine Schwachstelle aus einer eingebundenen Komponente stammt.
Die zentrale Meldeplattform
Die Meldungen sollen über die CRA Single Reporting Platform erfolgen. Die Europäische Kommission nennt den 11. September 2026 als Termin, zu dem die Plattform betriebsbereit sein soll. Unternehmen sollten deshalb nicht auf ein internes Formularformat optimieren, sondern vor allem sicherstellen, dass die notwendigen Fakten schnell erhoben, bewertet und freigegeben werden können.
Was jetzt geprüft werden sollte
Vor dem Stichtag empfiehlt sich eine konkrete Trockenübung: Wer nimmt eine Meldung entgegen? Wer entscheidet, ob ein CRA-relevantes Ereignis vorliegt? Wo liegen Produktversion, betroffene Komponenten und Kundenauswirkungen? Wer kann innerhalb weniger Stunden eine belastbare Sachlage liefern? Eine unverbindliche Vorprüfung kann diese Prozesskette auf Lücken prüfen und konkrete Vertiefungspunkte benennen. Sie ersetzt keine Rechtsberatung und ist keine Zertifizierung.
Häufige Fragen
CRA-Meldepflichten: Sind Sie für die neuen Fristen vorbereitet.
Teilen Sie uns mit, welche Fragen zur Umsetzung der CRA-Anforderungen Sie haben. Ihre Anfrage wird an die passenden Partnerbetriebe aus der Region weitergeleitet.
CRA-Check jetzt starten