CRA-Meldepflicht: Was Hersteller jetzt tun müssen

Redaktion Fristanker. Stand: 27. Oktober 2026. Grundlage: Verordnung (EU) 2024/2847 und die Hinweise des BSI zur Meldeplattform.

Wer muss melden?

Jeder Hersteller, der Produkte mit digitalen Elementen in der EU auf den Markt bringt. Gemeint sind Geräte und Software, die eine Datenverbindung zu einem anderen Gerät oder Netz haben oder haben können (Art. 2 Abs. 1): Router, Maschinensteuerungen, vernetzte Sensoren, Firmware, Apps, Desktop-Software.

Hersteller ist, wer ein solches Produkt entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet. Ob gegen Bezahlung oder kostenlos, spielt keine Rolle (Art. 3 Nr. 13). Die Unternehmensgröße auch nicht. Ein Hersteller mit 15 Beschäftigten hat dieselben Fristen wie ein Konzern.

Ausgenommen sind Produkte mit eigenen EU-Regeln: Medizinprodukte, In-vitro-Diagnostika, typgenehmigte Kraftfahrzeuge, nach EASA-Recht zertifizierte Luftfahrtprodukte und Schiffsausrüstung (Art. 2 Abs. 2 bis 4).

Gilt das auch für Produkte, die schon verkauft sind?

Ja. Für Altprodukte greift der übrige CRA erst, wenn sie nach dem 11. Dezember 2027 wesentlich geändert werden. Die Meldepflicht ist davon ausdrücklich ausgenommen: Art. 69 Abs. 3 erstreckt sie auf alle Produkte im Anwendungsbereich, auch auf solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.

Wer also eine Steuerung aus dem Jahr 2019 im Feld hat und erfährt, dass Angreifer eine Lücke darin ausnutzen, muss heute melden.

Was genau ist zu melden?

Es gibt zwei Auslöser.

1. Aktiv ausgenutzte Schwachstelle

Eine aktiv ausgenutzte Schwachstelle ist nach Art. 3 Nr. 42 eine Schwachstelle, zu der verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat.

Eine Lücke, die ein Sicherheitsforscher meldet oder Ihr eigener Penetrationstest findet, löst die Pflicht also noch nicht aus. Ein Proof of Concept auf GitHub nach dem Wortlaut auch nicht. Die Uhr läuft, sobald es belastbare Hinweise gibt, dass jemand die Lücke tatsächlich gegen ein fremdes System eingesetzt hat. Alle anderen Schwachstellen dürfen Sie freiwillig melden (Art. 15).

2. Schwerwiegender Sicherheitsvorfall

Ein Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts ist nach Art. 14 Abs. 5 schwerwiegend, wenn er die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, sensible oder wichtige Daten oder Funktionen zu schützen. Ebenso, wenn er dazu geführt hat oder führen kann, dass Schadcode in das Produkt oder in das Netz eines Nutzers gelangt.

Das typische Beispiel: Angreifer übernehmen Ihren Update-Server und verteilen manipulierte Firmware an Kunden. Der Fehler liegt dann nicht im Produkt, aber das Produkt ist der Weg.

Welche Fristen gelten?

Für beide Fälle gibt es drei Meldungen. Alle Fristen laufen ab dem Zeitpunkt, an dem Sie Kenntnis erlangen.

Hier scheitern Meldeprozesse in der Praxis am ehesten. Die 24 Stunden laufen ab Kenntnis, nicht ab dem Ende Ihrer Analyse. Wenn die Frühwarnung erst auf die Freigabe der Geschäftsführung wartet und die gerade im Flugzeug sitzt, ist die Frist am nächsten Morgen vorbei. Die Frühwarnung darf kurz sein. Eine Ursachenanalyse verlangt sie nicht.

Das zuständige CSIRT kann zwischendurch einen Zwischenbericht anfordern (Art. 14 Abs. 6).

Wohin wird gemeldet?

Über die Single Reporting Platform (CRA-SRP) der ENISA unter portal.cra-srp.enisa.europa.eu. Die Plattform ist seit dem 11. September 2026 in Betrieb. Ihre Meldung geht an das CSIRT des Mitgliedstaats Ihrer Hauptniederlassung und ist gleichzeitig für die ENISA sichtbar (Art. 14 Abs. 7, Art. 16). Für deutsche Hersteller ist das CERT-Bund beim BSI.

Hauptniederlassung heißt hier: der Staat, in dem die Entscheidungen über die Cybersicherheit Ihrer Produkte überwiegend getroffen werden. Lässt sich das nicht bestimmen, zählt der EU-Standort mit den meisten Beschäftigten.

Laut BSI brauchen Sie ein EU-Login-Konto mit Zwei-Faktor-Anmeldung. Eine Registrierung vorab ist nicht vorgeschrieben, und Meldungen werden auf Englisch eingereicht. Nur wenn die Plattform ausfällt, geht die Meldung per E-Mail an CERT-Bund.

Wir raten trotzdem, das EU-Login-Konto jetzt anzulegen und die Anmeldung einmal auszuprobieren. Ein vergessenes Passwort oder ein Diensthandy ohne Authenticator-App kostet im Ernstfall genau die Stunden, die dann fehlen.

Wen müssen Sie noch informieren?

Ihre Nutzer. Nach Art. 14 Abs. 8 informieren Sie die betroffenen Nutzer, gegebenenfalls alle, über die Schwachstelle oder den Vorfall und über Maßnahmen, die sie selbst ergreifen können. Wo es passt, in einem strukturierten, maschinenlesbaren Format, zum Beispiel als CSAF-Sicherheitshinweis. Informieren Sie nicht rechtzeitig, kann das CSIRT das selbst übernehmen.

Fällt ein Vorfall zugleich unter NIS-2, etwa weil Ihr Unternehmen selbst als wichtige Einrichtung gilt, sind zwei Meldungen nötig. Das BSI empfiehlt, in beiden auf die jeweils andere zu verweisen.

Was droht bei Verstößen?

Bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2). Die Mitgliedstaaten regeln die Einzelheiten. Bei der Höhe zählen unter anderem Art und Dauer des Verstoßes sowie Größe und Marktanteil des Unternehmens (Art. 64 Abs. 5).

Für Kleinst- und Kleinunternehmen enthält Art. 64 Abs. 10 eine Erleichterung: Für eine versäumte 24-Stunden-Frühwarnung sollen keine Geldbußen verhängt werden. Sie gilt aber nur für die Frühwarnung, nicht für die 72-Stunden-Meldung und nicht für den Abschlussbericht. Und der Wortlaut verweist auf die Absätze 3 bis 9, während die Bußgelder für Art. 14 in Absatz 2 stehen. Wir würden uns auf diese Ausnahme nicht verlassen. Mittlere Unternehmen ab 50 Beschäftigten fallen ohnehin nicht darunter.

Checkliste für die nächsten Tage

1. Listen Sie alle Produkte mit digitalen Elementen auf, die Sie in der EU bereitstellen oder bereitgestellt haben. Altgeräte im Feld und Softwareversionen, die Kunden noch nutzen, gehören dazu.
2. Benennen Sie eine Person, die meldet, und eine Vertretung. Das BSI empfiehlt ein eigenes Postfach für Produktsicherheit (PSIRT) und mindestens zwei Personen, die sich gegenseitig vertreten.
3. Legen Sie das EU-Login-Konto an, richten Sie die Zwei-Faktor-Anmeldung ein und rufen Sie die CRA-SRP einmal auf.
4. Legen Sie fest, wer entscheidet, dass eine Schwachstelle aktiv ausgenutzt wird, und dass die Frühwarnung ohne Freigabe der Geschäftsführung hinausgehen darf.
5. Bereiten Sie Textbausteine für Frühwarnung, Meldung und Abschlussbericht vor, auf Englisch und mit den Pflichtangaben aus der Tabelle oben.
6. Schaffen Sie einen Eingangskanal für Schwachstellenmeldungen: eine Kontaktadresse, etwa über security.txt, und eine veröffentlichte Richtlinie zur koordinierten Offenlegung (CVD). Ab dem 11. Dezember 2027 ist beides Pflicht (Anhang I Teil II Nr. 5 und 6). Über diesen Kanal erfahren Sie oft zuerst von einer Ausnutzung.
7. Entwerfen Sie eine Vorlage für Sicherheitshinweise an Kunden.
8. Spielen Sie einen Fall einmal durch, mit Stoppuhr. Ein frei erfundenes Szenario reicht.

Häufige Fragen

Ab wann gilt die CRA-Meldepflicht?

Seit dem 11. September 2026 (Art. 71 Abs. 2). Die übrigen Pflichten des Cyber Resilience Act gelten ab dem 11. Dezember 2027.

Muss jede Schwachstelle gemeldet werden?

Nein. Meldepflichtig sind nur aktiv ausgenutzte Schwachstellen, also solche mit verlässlichen Nachweisen, dass ein böswilliger Akteur sie ohne Zustimmung des Eigentümers in einem System ausgenutzt hat (Art. 3 Nr. 42). Andere Schwachstellen können Sie freiwillig melden (Art. 15).

Wann beginnt die 24-Stunden-Frist?

Mit Ihrer Kenntnis von der aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Sicherheitsvorfall (Art. 14 Abs. 2 und 4). Sie wartet nicht auf den Abschluss der internen Analyse.

An wen meldet ein Hersteller aus Deutschland?

Über die Single Reporting Platform der ENISA an das CSIRT des Mitgliedstaats der Hauptniederlassung. Für Deutschland ist das CERT-Bund beim BSI. Die ENISA erhält die Meldung gleichzeitig.

Muss man sich vorher auf der ENISA-Plattform registrieren?

Nein, laut BSI ist keine vorherige Registrierung nötig. Sie brauchen aber ein EU-Login-Konto mit Zwei-Faktor-Anmeldung, und Meldungen werden auf Englisch eingereicht. Das Konto vor dem Ernstfall anzulegen, lohnt sich.

Gilt die CRA-Meldepflicht auch für kleine Unternehmen?

Ja, unabhängig von der Größe. Art. 64 Abs. 10 sieht für Kleinst- und Kleinunternehmen lediglich vor, dass für eine versäumte 24-Stunden-Frühwarnung keine Geldbußen verhängt werden. Die 72-Stunden-Meldung und der Abschlussbericht sind davon nicht erfasst.

Gilt die Meldepflicht auch für Produkte, die schon verkauft sind?

Ja. Nach Art. 69 Abs. 3 gilt Artikel 14 für alle Produkte mit digitalen Elementen im Anwendungsbereich, auch für solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.

Welche Bußgelder drohen bei Verstößen gegen die Meldepflicht?

Bis zu 15 Millionen Euro oder bis zu 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2).

Quellen

• Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU, insbesondere Art. 14, Art. 16, Art. 64, Art. 69 und Art. 71
• BSI: CRA Single Reporting Platform (Hinweise zu EU Login, Sprache und Ausfallweg)
• BSI: Pressemitteilung vom 11. September 2026 zum Start der Meldepflicht
• ENISA: CRA Single Reporting Platform

Dieser Beitrag gibt den Stand vom 27. Oktober 2026 wieder und ersetzt keine Rechtsberatung. Durchführungsrechtsakte der Kommission zum Format der Meldungen (Art. 14 Abs. 10) und das deutsche Durchführungsgesetz können Einzelheiten noch ändern.