# Cyber Resilience Act: Meldepflichten für Hersteller gelten seit 11. September

> Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle nun binnen 24 Stunden über die ENISA-Plattform melden.

- Rubrik: Business
- Datum: 2026-09-11
- Kanonische URL: https://umbrecher.com/meldungen/cra-meldepflichten-gelten

## Was passiert ist

Seit dem 11. September 2026 gelten die Meldepflichten aus Artikel 14 des Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847). Hersteller von Produkten mit digitalen Elementen – also Hard- und Software mit Datenverbindung – müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Laut EU-Kommission gilt ein dreistufiges Verfahren: eine Frühwarnung binnen 24 Stunden nach Kenntnis, eine ausführlichere Meldung binnen 72 Stunden und ein Abschlussbericht – bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei schweren Vorfällen binnen eines Monats nach der 72-Stunden-Meldung.

Gemeldet wird über die Single Reporting Platform (SRP) der EU-Cybersicherheitsagentur ENISA, die laut Kommission seit dem 11. September betriebsbereit ist. Eine Meldung erreicht das zuständige nationale CSIRT und zugleich ENISA.

## Einordnung

Die Pflicht betrifft auch Produkte, die bereits auf dem Markt sind. Die übrigen CRA-Anforderungen, etwa an sichere Entwicklung und Konformitätsbewertung, gelten im Wesentlichen erst ab dem 11. Dezember 2027. Für Open-Source-Stewards – Organisationen, die freie Software dauerhaft für kommerzielle Nutzung bereitstellen – greifen die Meldepflichten laut Kommission ebenfalls erst ab diesem Datum. Mittelständische Hersteller sollten jetzt klären, wer im Ernstfall meldet, und interne Abläufe auf die 24-Stunden-Frist ausrichten.

Dieser Beitrag ersetzt keine Rechtsberatung.

## Quellen

1. [Europäische Kommission – CRA Reporting](https://digital-strategy.ec.europa.eu/en/policies/cra-reporting)
2. [EUR-Lex – Verordnung (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
3. [Crowell & Moring – It’s LIVE: The Cyber Resilience Act Reporting Is Mandatory](https://www.crowell.com/en/insights/client-alerts/its-live-the-cyber-resilience-act-reporting-is-mandatory-as-of-today-11-september-2026)