CRA-Meldepflicht ab 11. September 2026: Wer meldet was — und wohin?

Was genau muss ich ab dem 11. September 2026 melden?

Meldepflichtig sind zwei Ereignis-Typen: erstens jede aktiv ausgenutzte Schwachstelle im eigenen Produkt — also eine Lücke, die Angreifer nachweislich verwenden —, zweitens jeder schwerwiegende Sicherheitsvorfall, der die Sicherheit des Produkts beeinträchtigt. Die alltägliche, nicht ausgenutzte Schwachstelle aus dem eigenen Pentest fällt nicht unter die Meldepflicht; sie gehört in den normalen Umgang mit Schwachstellen, den der CRA ab Dezember 2027 zusätzlich verlangt.

Die Meldung läuft als Kaskade: Innerhalb von 24 Stunden nach Kenntnis geht eine Frühwarnung raus, innerhalb von 72 Stunden folgen die Details (Art der Schwachstelle, betroffene Produkte, mögliche Abhilfe), und den Abschluss bildet ein Bericht — bei Schwachstellen spätestens 14 Tage nach Bereitstellung eines Updates oder Workarounds, bei Vorfällen einen Monat nach der Erstmeldung.

Wohin melde ich — BSI, ENISA oder beide?

Der CRA sieht eine zentrale Single Reporting Platform vor: Die Meldung erreicht darüber gleichzeitig das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat, und die ENISA. In Deutschland ist das BSI die zuständige Stelle — es ist zugleich als Marktüberwachungsbehörde für den CRA benannt und kann nicht-konforme Produkte vom Markt nehmen.

Praktisch heißt das für die Vorbereitung: Wer heute noch keinen Prozess hat, der eine Schwachstellen-Meldung innerhalb eines Arbeitstags auslösen kann, sollte ihn vor dem Stichtag aufsetzen — inklusive Erreichbarkeit außerhalb der Bürozeiten, denn die 24-Stunden-Frist läuft ab Kenntnis, nicht ab dem nächsten Werktag.

Gilt die Meldepflicht auch für meine Bestandsprodukte?

Ja — und das ist der Punkt, der in vielen Planungen fehlt. Die vollen CRA-Produktpflichten (Security by Design, Update-Versorgung, technische Dokumentation, CE-Kennzeichnung) treffen nur Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden. Die Meldepflichten nach Artikel 14 gelten dagegen ab dem 11. September 2026 auch für Produkte, die bereits vorher auf dem Markt waren. Ein Hersteller kann sich der Meldepflicht also nicht mit dem Argument entziehen, das Produkt sei ein Altprodukt.

Für die Praxis bedeutet das: Auch für das Bestandssortiment braucht es ab September 2026 eine Stelle, die Schwachstellen-Hinweise entgegennimmt und bewertet — sonst beginnt die 24-Stunden-Frist zu laufen, ohne dass es jemand merkt.

Wie bereite ich mein Unternehmen in den verbleibenden Wochen vor?

Vier Bausteine reichen für den Start: Erstens eine erreichbare Meldestelle für Schwachstellen-Hinweise (Security-Kontakt auf der Website, gepflegtes Postfach). Zweitens ein interner Eskalationspfad, der binnen Stunden bis zur meldeberechtigten Person führt. Drittens eine Produktliste mit Verantwortlichen — wer beurteilt für welches Produkt, ob eine Lücke aktiv ausgenutzt wird? Viertens ein vorbereitetes Meldeformular-Gerüst mit den Pflichtangaben, damit die 24-Stunden-Frühwarnung kein Blindflug wird.

Die Registrierung und der genaue Ablauf auf der EU-Meldeplattform werden vom BSI begleitet; die BSI-Seite zum Cyber Resilience Act ist die verlässliche deutsche Anlaufstelle für den jeweils aktuellen Verfahrensstand.

Melde-Kaskade nach Art. 14 CRA (ab 11.09.2026)

Fristen nach Art. 14 der Verordnung (EU) 2024/2847. Die Meldepflicht gilt ab 11.09.2026 auch für Produkte, die vor diesem Datum in Verkehr gebracht wurden.

Verwandte Berechnungen

Weitere Rechner-Seiten mit inhaltlichem Bezug zu dieser Berechnung.