AKTUELL
CRA-Meldepflicht startet: Hersteller müssen aktiv ausgenutzte Lücken binnen 24 Stunden melden
Die CRA-Meldepflicht gilt ab dem 11. September 2026: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle bei digitalen Produkten innerhalb von 24 Stunden zunächst melden. Dafür startet die von der europäischen Cybersicherheitsagentur ENISA betriebene zentrale Meldeplattform. Für Verbraucher ändert sich dadurch keine Geräteeinstellung, wohl aber der Weg, auf dem Behörden von akuten Sicherheitsproblemen erfahren.
Die neuen Fristen gehören zum Cyber Resilience Act, dessen umfassende Produktanforderungen größtenteils erst Ende 2027 wirksam werden. Die Meldepflichten des Cyber Resilience Act greifen jedoch bereits jetzt und gelten auch für Produkte, die schon vor dem vollständigen Anwendungsbeginn auf den EU-Markt gebracht wurden.
Was die CRA-Meldepflicht erfasst
Der Cyber Resilience Act verwendet den Oberbegriff „Produkte mit digitalen Elementen“. Darunter fallen grundsätzlich Hardware- und Softwareprodukte, die in der Europäischen Union angeboten werden, ebenso separat vermarktete Komponenten. Das Spektrum reicht damit von Routern, Smartwatches und vernetzten Haushaltsgeräten bis zu Apps und Computerprogrammen.
Nicht jeder gewöhnliche Programmfehler löst automatisch die neue 24-Stunden-Frist aus. Meldepflichtig sind Schwachstellen, von denen der Hersteller weiß, dass sie aktiv ausgenutzt werden, sowie schwere Vorfälle, die sich auf die Sicherheit des Produkts auswirken. Eine theoretisch beschriebene, bislang aber nicht missbrauchte Lücke ist deshalb nicht allein aufgrund ihrer Entdeckung als aktiv ausgenutzte Schwachstelle zu melden.
Entscheidend ist der Zeitpunkt, zu dem der Hersteller von dem meldepflichtigen Sachverhalt Kenntnis erlangt. Auch ältere Produkte können erfasst sein, sofern sie auf dem EU-Markt bereitgestellt wurden. Die Meldepflicht beschränkt sich somit nicht auf Geräte und Software, die nach dem 11. September neu erscheinen.
Auf die erste Warnung folgen weitere Berichte
Innerhalb von 24 Stunden muss zunächst eine Frühwarnung eingehen. Spätestens 72 Stunden nach Bekanntwerden ist eine ausführlichere Meldung erforderlich. Bei einer aktiv ausgenutzten Schwachstelle folgt der Abschlussbericht spätestens 14 Tage, nachdem eine korrigierende oder risikomindernde Maßnahme verfügbar ist. Bei einem schweren Sicherheitsvorfall endet die Frist für den Abschlussbericht einen Monat nach der ausführlichen 72-Stunden-Meldung.
Die erste Frist ist damit ausdrücklich eine Meldefrist und keine Garantie für einen Patch innerhalb von 24 Stunden. Wie schnell eine Aktualisierung bereitsteht, hängt weiterhin davon ab, wie komplex die Schwachstelle ist, welche Produktversionen betroffen sind und ob eine Korrektur ohne neue Probleme verteilt werden kann.
Hersteller übermitteln die Angaben einmalig über die Single Reporting Platform von ENISA. Die Meldung geht an das zuständige Computer Security Incident Response Team am Hauptsitz des Unternehmens und grundsätzlich gleichzeitig an ENISA. Anschließend werden die Informationen an die zuständigen Teams weiterer Mitgliedstaaten weitergegeben, in denen das betroffene Produkt angeboten wurde.
Dieser gemeinsame Meldeweg soll verhindern, dass Hersteller denselben Vorfall für zahlreiche nationale Stellen getrennt aufbereiten müssen. Zugleich erhalten die zuständigen Behörden in betroffenen EU-Staaten schneller einen gemeinsamen Informationsstand.
Die ENISA-Plattform ist kein öffentliches Warnportal
Die amtlichen Beschreibungen stellen die Plattform als Arbeits- und Meldeweg für Hersteller, ENISA und nationale Sicherheitsteams dar. Daraus entsteht nicht automatisch eine öffentliche Datenbank, in der Verbraucher jede eingegangene Meldung unmittelbar nachlesen können.
Eine Behördenmeldung ist außerdem weder ein Beleg dafür, dass bereits ein Update verfügbar ist, noch dafür, dass alle Nutzer eines Produkts konkret gefährdet sind. Maßgeblich bleiben die Angaben zum betroffenen Modell, zur Softwareversion, zur Angriffsart und zu möglichen Schutzmaßnahmen.
Für Nutzer besteht allein wegen des neuen Stichtags kein unmittelbarer Handlungsbedarf. Wichtig bleibt, Aktualisierungen über die offiziellen App-Stores und Herstellerkanäle zu installieren und konkrete Warnungen zum eigenen Gerät zu beachten. Weitere zeitnahe Update- und Schwachstellenmeldungen bündelt gadgetChecks fortlaufend im Archiv von Technik Aktuell.
Die vollständigen Produktpflichten folgen Ende 2027
Die jetzt beginnende Meldepflicht darf nicht mit dem vollständigen Start des Cyber Resilience Act verwechselt werden. Die umfassenden Anforderungen an Entwicklung, sichere Voreinstellungen, Pflege, Schwachstellenbehandlung und Produktinformationen gelten überwiegend ab dem 11. Dezember 2027.
Der frühere Start der Meldefristen schafft zunächst eine gemeinsame europäische Informationsstruktur für akute Fälle. Ob daraus schneller verfügbare Updates und verständlichere Warnungen entstehen, wird davon abhängen, wie vollständig Hersteller melden, wie gut die beteiligten Behörden zusammenarbeiten und wie zügig die Anbieter ihre Kunden über konkrete Schutzmaßnahmen informieren.
Stand der Recherche: 10. September 2026, 18:15 Uhr CEST.
Hauptquellen
- Europäische Kommission: Meldepflichten des Cyber Resilience Act
- ENISA: Single Reporting Platform
- Europäische Kommission: Zusammenfassung des Cyber Resilience Act
- EUR-Lex: Verordnung (EU) 2024/2847
Transparenzhinweis: Dieser Beitrag enthält keine Affiliate-Links. Die rechtliche Einordnung beruht auf dem veröffentlichten EU-Rechtsakt sowie den aktuellen Informationen der Europäischen Kommission und ENISA.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
Was sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnen
