Cyberresilienz-Verordnung · Meldepflichten
Die Pflicht startet, der Bußgeldrahmen bleibt liegen
Ein Maschinenbauer liefert seit 2019 Steuerungen aus, die längst nicht mehr weiterentwickelt werden. Wer annimmt, für diesen Altbestand gelte die neue Meldepflicht nicht, irrt in dem Punkt, der praktisch am teuersten wird. Art. 14 der Verordnung (EU) 2024/2847, der Cyberresilienz-Verordnung (CRA), wird am anwendbar und erfasst nach Art. 69 Abs. 3 auch alle vorher in Verkehr gebrachten Produkte. Wer die 24-Stunden-Kette nicht aufgebaut hat, verliert die Frist an einer Stelle, die mit Sicherheitstechnik nichts zu tun hat, und erklärt das später Kunden, Prüfern und Versicherern.
Die Antwort in drei Sätzen
Ab dem 11. September 2026 muss jeder Hersteller eines auf dem Unionsmarkt bereitgestellten Produkts mit digitalen Elementen eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall innerhalb von 24 Stunden nach Kenntniserlangung als Frühwarnung, innerhalb von 72 Stunden als Meldung und danach als Abschlussbericht über die einheitliche Meldeplattform der ENISA an das zuständige CSIRT und die ENISA übermitteln sowie die betroffenen Nutzer informieren (Art. 14 Abs. 1 bis 4, 8 CRA). Diese Pflicht erfasst nach Art. 69 Abs. 3 CRA ausdrücklich auch alle Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, sodass für den Bestand insoweit keine Ausnahme besteht. Der Rahmen von bis zu 15 Millionen Euro oder, bei Unternehmen, 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist steht in Art. 64 Abs. 2 CRA, der als Teil des Kapitels VII nach der hier vertretenen Auslegung des Art. 71 Abs. 2 CRA erst am 11. Dezember 2027 anwendbar wird und zudem nationale Sanktionsvorschriften voraussetzt, die in Deutschland noch nicht in Kraft sind.
Was Unternehmen aus dieser Rechtslage mitnehmen
Art. 69 Abs. 2 CRA nimmt Altprodukte von den übrigen Anforderungen aus, Absatz 3 hebt das allein für Art. 14 wieder auf.
Ein 2019 ausgeliefertes Gerät im Feld ist damit erfasst. Für Hersteller langlebiger Industriegüter ist das die weitreichendste Aussage des gesamten Übergangsrechts.[1]
Die Frühwarnung verlangt keine abgeschlossene Untersuchung, wohl aber eine unverzügliche Erstbewertung.
Pflichtangaben sind Meldungsart und Meldestufe, Hersteller, Produkt und Titel, dazu die Mitgliedstaaten der Bereitstellung, soweit bekannt.[8]
Meldepflichtig ist nicht jede Schwachstelle, sondern die aktiv ausgenutzte.
Erforderlich sind verlässliche Nachweise einer Ausnutzung durch einen böswilligen Akteur (Art. 3 Nr. 42 CRA). Ein Fund aus dem eigenen Penetrationstest löst nichts aus.
Pflichtenebene und Durchsetzungsebene fallen auseinander.
Kapitel V zur Marktüberwachung und Kapitel VII zu den Sanktionen werden nach der hier vertretenen Auslegung erst am 11. Dezember 2027 anwendbar.
Die Erleichterung des Art. 64 Abs. 10 lit. a CRA betrifft nur die Geldbuße.
Sie greift allein bei Versäumung der 24-Stunden-Frist. Meldepflicht, 72-Stunden-Frist und Abschlussbericht bleiben unberührt.
Der wirtschaftliche Druck entsteht nicht über das Bußgeld.
Wirksam werden Lieferkettenanforderungen nach NIS 2, Vergabebedingungen, Zusicherungen in Softwareverträgen und Transaktionsprüfungen. Sie wirken schon vor Dezember 2027.
Was Art. 14 CRA im Einzelnen anordnet
Die folgende Übersicht führt jeden Regelungsgegenstand mit Ergebnis und Fundstelle auf, einschließlich dessen, was die Vorschrift nicht regelt.
| Gegenstand | Ergebnis | Fundstelle |
|---|---|---|
| Geltungsbeginn der Meldepflicht | 11.09.2026 abweichend vom allgemeinen Geltungsbeginn | Art. 71 Abs. 2 UAbs. 2 |
| Bestandsprodukte | Keine Ausnahme Art. 14 gilt für alle vor dem 11.12.2027 in Verkehr gebrachten Produkte | Art. 69 Abs. 3 |
| Erster Meldeauslöser | Aktiv ausgenutzte Schwachstelle, verlässliche Nachweise erforderlich | Art. 14 Abs. 1, Art. 3 Nr. 42 |
| Zweiter Meldeauslöser | Schwerwiegender Sicherheitsvorfall mit Auswirkung auf die Produktsicherheit | Art. 14 Abs. 3, Abs. 5 |
| Fristen | 24 Stunden, 72 Stunden, danach 14 Tage bzw. ein Monat | Art. 14 Abs. 2, Abs. 4 |
| Empfänger | Als Koordinator benanntes CSIRT und ENISA gleichzeitig, über die Meldeplattform | Art. 14 Abs. 1, Abs. 7, Art. 16 |
| Zuständigkeitsanknüpfung | Hauptniederlassung, hilfsweise Rangfolge über Bevollmächtigten, Einführer, Händler, Nutzer | Art. 14 Abs. 7 |
| Nutzerinformation | Eigenständige Pflicht, bei Säumnis Ersatzbefugnis der CSIRTs | Art. 14 Abs. 8 |
| Verwalter quelloffener Software | Eingeschränkt nur im Umfang der Entwicklungsbeteiligung, Geldbußen ausgeschlossen | Art. 24 Abs. 3, Art. 64 Abs. 10 lit. b |
| Kleinst- und Kleinunternehmen | Keine Geldbuße wegen Versäumung der 24-Stunden-Frist, Meldepflicht bleibt | Art. 64 Abs. 10 lit. a |
| Zwischenbericht | Nur auf Anforderung des CSIRT, keine Regelpflicht | Art. 14 Abs. 6 |
| Nicht erfasst | Frei gutgläubige Sicherheitsforschung ohne böswillige Absicht | Erwägungsgrund 68 |
| Nicht geregelt | Format und Verfahren der Meldung durch Durchführungsrechtsakt | Art. 14 Abs. 10, bislang nicht veröffentlicht |
Reichweite und Grenzen
Art. 14 CRA regelt eine Meldung an Behörden und eine Information an Nutzer. Er leistet ausdrücklich nicht Folgendes, sodass die jeweils genannten Rechtsgebiete eigenständig zu prüfen bleiben.
- Er ersetzt keine Meldung nach Art. 23 der Richtlinie (EU) 2022/2555 und dem BSI-Gesetz, weil dort die Einrichtung als Betreiber angesprochen ist.
- Er ersetzt keine Meldung einer Verletzung des Schutzes personenbezogener Daten nach Art. 33 DSGVO und keine Benachrichtigung nach Art. 34 DSGVO. Bei akutem Datenabfluss führt Hilfe bei Datenpanne weiter.
- Er sagt nichts über die Konformität des Produkts, weil Anhang I erst ab dem 11. Dezember 2027 gilt.
- Er begründet keine zivilrechtliche Anspruchsgrundlage. Die Produkthaftung regeln die Richtlinie (EU) 2024/2853 und das nationale Recht eigenständig.
- Er löst keine Konflikte mit Geheimhaltungsvereinbarungen, koordinierter Offenlegung und vertraglichen Informationsfristen.
Worauf die Aussagen dieses Beitrags beruhen
Nicht jede Aussage hat dasselbe Gewicht. Die folgende Übersicht trennt Normtext, amtliche Auslegung, Verwaltungspraxis und eigene Bewertung.
| Aussage | Grundlage | Einordnung |
|---|---|---|
| Art. 14 gilt ab dem 11.09.2026 | Art. 71 Abs. 2 UAbs. 2 CRA | Normtext |
| Bestandsprodukte sind erfasst | Art. 69 Abs. 3 CRA | Normtext |
| Kleinst- und Kleinunternehmen ohne Geldbuße bei der 24-Stunden-Frist | Art. 64 Abs. 10 lit. a CRA in der Fassung der Berichtigung 2025/90555 | Normtext |
| Pflichtfelder je Meldestufe, Registrierung über EU-Login | Verfahrensbeschreibung der ENISA, laufend aktualisiert | Verwaltungspraxis |
| Kenntnisschwelle, Altfälle, Fremdkomponenten, Nutzerinformation | Leitlinien der Kommission, Anhang Abschnitt 9.1, unverbindlich | Amtliche Auslegung |
| Sanktionsebene erst ab dem 11.12.2027 | Art. 71 Abs. 2 CRA und Art. 4 Abs. 4 des Regierungsentwurfs zum Durchführungsgesetz | Normtext und Entwurf |
| Frühe Anwendbarkeit des Art. 15 aus dem Wortlaut nicht zweifelsfrei | Eigene Auslegung. Kommission und ENISA gehen von früher Praxis aus | Eigene Auslegung |
| Art. 14 Abs. 8 als mögliche Marktverhaltensregelung | Eigene Bewertung, keine veröffentlichte Entscheidung | Eigene Auslegung |
Die Meldepflicht ist der erste harte Termin eines Regelwerks, das Cybersicherheit zur Marktzugangsvoraussetzung für vernetzte Produkte macht. Wer die Meldewege sauber aufsetzt, schafft zugleich einen Teil der Grundlage für die Schwachstellenbehandlung nach Anhang I CRA. Wer zuerst wissen will, ob sein Produkt überhaupt erfasst ist, findet die Einordnung im CRA-Check. Die Betreiberseite derselben Sicherheitsfragen führt NIS2-Betroffenheitsprüfung und BSI-Registrierung, die Sicherheitsorganisation und Lieferkettensteuerung Cybersecurity, Rollenmodelle und Auditfähigkeit IT-Compliance. Den übergreifenden Rahmen setzt der Hub IT-Recht und Digitalisierung.
Soweit die Rechtslage in ihren Grundzügen. Was folgt, sind der Wortlaut der einzelnen Absätze, die Anknüpfungspunkte der einzelnen Pflichten, die Datenfelder aus der am 31. Juli 2026 aktualisierten Verfahrensbeschreibung der ENISA, die Fassungsgeschichte einschließlich der Berichtigung des Sanktionsartikels sowie der Stand des deutschen Durchführungsgesetzes, der in der Berichterstattung zum Stichtag bislang keine Rolle spielt.
¶Jede Pflicht hat ihr eigenes Ereignis
Die Verordnung kennt keine einheitliche Anknüpfung. Die Konformitätspflichten hängen am Inverkehrbringen, die Meldepflicht an der Kenntnis, die Nutzerinformation am selben Ereignis wie die Meldung. Wer das gleichsetzt, kommt beim Altbestand zum falschen Ergebnis.
| Pflicht | Knüpft an | Bezugsobjekt | Bestandsfälle |
|---|---|---|---|
| Meldung der Schwachstelle, Art. 14 Abs. 1 | Kenntniserlangung von der aktiven Ausnutzung | Je Schwachstelle und Produkt | Ja Art. 69 Abs. 3 |
| Meldung des Vorfalls, Art. 14 Abs. 3 | Kenntniserlangung vom Vorfall | Je Vorfall | Ja Art. 69 Abs. 3 |
| Nutzerinformation, Art. 14 Abs. 8 | Dasselbe Ereignis wie die Meldung | Je betroffene Nutzergruppe | Ja |
| Abschlussbericht bei Schwachstelle, Art. 14 Abs. 2 lit. c | Verfügbarkeit der Korrektur- oder Risikominderungsmaßnahme | Je Schwachstelle | Ja |
| Grundlegende Anforderungen, Anhang I | Inverkehrbringen ab dem 11.12.2027 | Je Produkttyp | Nein Art. 69 Abs. 2 |
| Konformitätsbewertung und CE-Kennzeichnung | Inverkehrbringen ab dem 11.12.2027 | Je Produkttyp | Nein |
| Wesentliche Veränderung eines Altprodukts | Bereitstellung nach der Veränderung | Je verändertes Exemplar | Pflichten, ggf. begrenzt Reichweite hängt davon ab, ob die Veränderung die Cybersicherheit des Gesamtprodukts berührt |
Zwei Zeilen verdienen besondere Aufmerksamkeit. Die Meldepflicht knüpft an ein Ereignis an, das der Hersteller nicht steuert, nämlich die Kenntnis. Der Abschlussbericht knüpft an die Verfügbarkeit der Abhilfe an und damit an ein steuerbares. Beide betreffen den Altbestand.
¶Drei Geltungsbeginne, nicht einer
Die Verordnung kennt drei Geltungsbeginne. Die Meldepflicht ist der zweite davon und der erste, der Hersteller unmittelbar betrifft.
Die Cyberresilienz-Verordnung ist am 10. Dezember 2024 in Kraft getreten und gilt grundsätzlich ab dem 11. Dezember 2027 (Art. 71 Abs. 1 und Abs. 2 UAbs. 1).[1] Kapitel IV zur Notifizierung von Konformitätsbewertungsstellen gilt seit dem 11. Juni 2026, Art. 14 gilt ab dem 11. September 2026 (Art. 71 Abs. 2 UAbs. 2). Erwägungsgrund 126 nennt als Grund, dass den Wirtschaftsakteuren für die Produktanforderungen ausreichend Zeit einzuräumen sei, die Meldepflichten davon aber ausgenommen bleiben sollen.[1]
Die vier Begriffe, auf die es ankommt
Produkt mit digitalen Elementen ist ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich getrennt in Verkehr gebrachter Komponenten (Art. 3 Nr. 1 CRA). Ob ein Produkt zusätzlich als wichtig oder kritisch gilt, richtet sich nach den Anhängen III und IV und der Durchführungsverordnung (EU) 2025/2392.[4] Für die Meldepflicht ist diese Einstufung ohne Bedeutung.
Aktiv ausgenutzte Schwachstelle ist eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat (Art. 3 Nr. 42 CRA).
Hersteller ist, wer Produkte mit digitalen Elementen entwickelt oder herstellt oder entwickeln lässt und sie unter eigenem Namen oder eigener Marke vermarktet, entgeltlich, zur Monetarisierung oder unentgeltlich (Art. 3 Nr. 13 CRA).
Verwalter quelloffener Software ist eine juristische Person, die die Entwicklung bestimmter für kommerzielle Tätigkeiten bestimmter quelloffener Produkte systematisch und nachhaltig unterstützt und deren Brauchbarkeit sicherstellt (Art. 3 Nr. 14 CRA).
Eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat. Art. 3 Nr. 42 der Verordnung (EU) 2024/2847.
Eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder entwickeln lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich. Art. 3 Nr. 13 der Verordnung (EU) 2024/2847.
Inkrafttreten, zwanzig Tage nach der Veröffentlichung im Amtsblatt vom 20. November 2024.
Berichtigung ABl. L, 2025/90555 mit einer Änderung des Art. 64 Abs. 10.
Durchführungsverordnung (EU) 2025/2392 mit den technischen Beschreibungen der Produktkategorien.
Veröffentlichung der Delegierten Verordnung (EU) 2026/881 zum Aufschub der Weiterleitung.
Kapitel IV wird anwendbar. Erste Lesung des deutschen Durchführungsgesetzes im Bundestag.
Leitlinien der Kommission nach Art. 26 CRA, Dokument C(2026) 5252, rund achtzig Seiten.
Art. 14 wird anwendbar. Die einheitliche Meldeplattform soll betriebsbereit sein.
Die Mitgliedstaaten sorgen für eine ausreichende Zahl notifizierter Stellen (Art. 35 Abs. 2).
Volle Geltung einschließlich Anhang I, CE-Kennzeichnung, Marktüberwachung und Sanktionen.
Ende der Gültigkeit älterer EU-Baumusterprüfbescheinigungen (Art. 69 Abs. 1).
¶Zum Meldeaufkommen fehlt jede Zahl
Die Vorziehung der Meldepflicht steht auf einer schmalen empirischen Grundlage. Das ist der wichtigste Vorbehalt gegenüber allen Aussagen zur erwarteten Melddichte, und er wird in der Berichterstattung nirgends gemacht.
Die Verordnung nennt keine Zahlen zum erwarteten Meldeaufkommen. Die Folgenabschätzung zum Verordnungsvorschlag enthält Kostenschätzungen, die auf Annahmen beruhen und keine Aussage über die Zahl künftiger Meldungen treffen. Der erste technische Bericht der ENISA über Trends bei Cybersicherheitsrisiken ist nach ihrer Verfahrensbeschreibung innerhalb von 24 Monaten nach dem Beginn der Meldepflichten fällig.[8] Wer heute Zahlen zur künftigen Meldelast nennt, stützt sich auf Schätzungen.
Belastbar dokumentiert ist dagegen der Verfahrensgang der Konkretisierung. Der delegierte Rechtsakt zu den Cybersicherheitsgründen für einen Aufschub der Weiterleitung war nach Art. 14 Abs. 9 CRA bis zum 11. Dezember 2025 zu erlassen. Die Kommission hat ihn genau an diesem Tag erlassen, veröffentlicht wurde er am 20. April 2026 als Delegierte Verordnung (EU) 2026/881.[3] Der Entwurf der Leitlinien nach Art. 26 CRA wurde am 3. März 2026 zur Rückmeldung gestellt. Am 27. Juli 2026 hat die Kommission die unverbindlichen Leitlinien C(2026) 5252 samt Anhang veröffentlicht.[6] Fachdebatte Der Titel der Mitteilung nimmt auf die Billigung des Inhalts eines Entwurfs Bezug, weshalb eine fachöffentliche Auswertung davon ausgeht, dass sprachbezogene Förmlichkeiten noch ausstehen.[13] An der praktischen Verfügbarkeit der veröffentlichten Fassung ändert das nichts.
Ein zweiter Punkt betrifft die Fassungsgeschichte. Der Sanktionsartikel wurde durch die Berichtigung ABl. L, 2025/90555 vom 2. Juli 2025 geändert. In Art. 64 Abs. 10 trat an die Stelle der Abweichung von den Absätzen 3 bis 9 eine Abweichung von den Absätzen 2 bis 9.[2] Der Bundesgesetzgeber zitiert die Verordnung in der Bundestagsdrucksache zum Durchführungsgesetz bereits unter Einschluss dieser Berichtigung.[10] Praktisch bedeutet die Änderung, dass die Ausnahme für Kleinst- und Kleinunternehmen sowie für Verwalter quelloffener Software auch den höchsten Bußgeldrahmen erfasst, in dem Art. 14 steht.
¶Vier Normen bilden das Meldesystem
Art. 14 der Verordnung ist keine isolierte Vorschrift. Er ist der Pflichtenteil eines Systems aus vier Normen, und wer nur den Fristenkatalog liest, übersieht die Plattform, die Vertraulichkeitsregeln und die Unterstützungspflicht der CSIRTs.
Die Vorschrift steht im Kapitel II über die Pflichten der Wirtschaftsakteure und wirkt in zwei Richtungen. Nach innen dient sie dem Lagebild der als Koordinatoren benannten CSIRTs und der ENISA. Nach außen soll sie die Nutzer in die Lage versetzen, auf einen laufenden Angriff zu reagieren. Erwägungsgrund 66 ordnet jede ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen als Bedrohung für das Funktionieren des Binnenmarkts ein und begründet damit die Kompetenzgrundlage des Art. 114 AEUV.[1]
Art. 15 eröffnet die freiwillige Meldung für Schwachstellen, Cyberbedrohungen, Vorfälle und Beinahe-Vorfälle. Art. 16 errichtet die einheitliche Meldeplattform und regelt in Absatz 2 den Aufschub der Weiterleitung. Art. 17 enthält die begleitenden Bestimmungen, darunter in Absatz 5 die Aufnahme behobener Schwachstellen in die europäische Schwachstellendatenbank und in Absatz 6 die Pflicht der CSIRTs, Helpdesk-Unterstützung für Hersteller und insbesondere für kleine und mittlere Unternehmen anzubieten.[1]
Vorgezogen ist Art. 14, nicht das übrige Meldesystem
Eigene Auslegung Art. 71 Abs. 2 UAbs. 2 zieht ausdrücklich nur Art. 14 und Kapitel IV vor. Art. 15, 16 und 17 werden nicht genannt und gelten nach dem Wortlaut deshalb erst ab dem 11. Dezember 2027. Das hat zwei Folgen.
Für die Plattform ist der Befund auflösbar. Art. 14 Abs. 1 ordnet die Meldung ausdrücklich über die gemäß Art. 16 eingerichtete einheitliche Meldeplattform an. Wer eine Norm vorzieht, zieht die von ihr in Bezug genommene Infrastrukturvorschrift insoweit mit vor, als sie zum Vollzug erforderlich ist. Dasselbe gilt für Art. 17, soweit er den weiteren Umgang mit der eingegangenen Meldung regelt.
Für die freiwillige Meldung bleibt eine Spannung. Art. 14 nimmt auf Art. 15 nicht Bezug, und eine freiwillige Meldung ist zum Vollzug der Pflicht nicht erforderlich. Aus Art. 71 Abs. 2 ergibt sich ihre frühe Anwendbarkeit deshalb nicht zweifelsfrei. Kommission und ENISA gehen gleichwohl von einer freiwilligen Meldepraxis nach dem 11. September 2026 aus. Die Leitlinien verweisen den Hersteller einer nicht meldepflichtigen Schwachstelle in einer Fremdkomponente ausdrücklich auf die freiwillige Meldung nach Art. 15 (Rn. 218),[6] und die ENISA schaltet die Funktion nach dem Stichtag frei.[8]
Dieselbe Spannung besteht bei Art. 24 Abs. 3, der die Meldepflicht auf Verwalter quelloffener Software erstreckt und ebenfalls nicht ausdrücklich vorgezogen ist. Wer Art. 15 die frühe Geltung abspricht, müsste sie konsequenterweise auch dort verneinen. Der Beitrag folgt in beiden Fällen der Verwaltungspraxis und weist die Unsicherheit aus.
„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“
Art. 14 Abs. 1 Satz 1 CRA, deutsche Sprachfassung
Der Wortlaut entscheidet hier zwei Fragen, die sich sonst nicht beantworten ließen. Erstens ordnet er eine gleichzeitige Meldung an zwei Stellen an, nicht eine Meldung mit anschließender Weiterleitung. Zweitens knüpft er an die Kenntnis des Herstellers an und nicht an die Entdeckung durch einen Dritten. Technisch wird die Gleichzeitigkeit über die Plattform abgebildet, weil die Meldung über den Endpunkt des zuständigen CSIRT eingereicht und der ENISA zugleich zugänglich gemacht wird (Art. 14 Abs. 7 UAbs. 1). Nur in besonders außergewöhnlichen Umständen erhält die ENISA den vollständigen Inhalt der 72-Stunden-Meldung nicht sofort, nämlich dann, wenn der Hersteller in der Meldung markiert, dass eine der Voraussetzungen des Art. 16 Abs. 2 lit. a bis c vorliegt.[8]
¶Die Meldepflicht endet beim Hersteller
Die Meldepflicht wandert nicht die Lieferkette hinunter. Sie wandert nur dorthin, wo jemand das Produkt unter eigenem Namen vertreibt oder wesentlich verändert.
Einführer und Händler treffen eigene Pflichten aus den Art. 19 und 20 CRA, sie werden aber nur dann wie Hersteller behandelt, wenn sie das Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen oder es wesentlich verändern (Art. 21 CRA). Das ist der praktisch relevante Fall bei Eigenmarken im Handel und bei White-Label-Geräten. Art. 22 erfasst daneben andere Personen, die ein Produkt wesentlich verändern und anschließend auf dem Markt bereitstellen, also auch Integratoren außerhalb der ursprünglichen Lieferkette.
| Rolle | Meldepflicht nach Art. 14 | Bemerkung |
|---|---|---|
| Hersteller | Ja vollständig | Auch bei unentgeltlicher Abgabe und bei Monetarisierung ohne Preis (Art. 3 Nr. 13) |
| Eigenmarkenanbieter | Ja als Hersteller | Wer unter eigenem Namen vertreibt, rückt in die Herstellerrolle ein (Art. 21) |
| Einführer und Händler | Nein sofern nicht Art. 21 greift | Eigene Informations- und Mitwirkungspflichten aus Art. 19 und 20 |
| Wer ein Produkt wesentlich verändert | Ja im Umfang des Art. 22 | Erfasst auch Personen außerhalb der ursprünglichen Lieferkette |
| Bevollmächtigter | Kann im Rahmen eines schriftlichen Mandats im Namen des Herstellers einreichen | Bestimmt zugleich das zuständige CSIRT bei Herstellern ohne Unionsniederlassung (Art. 14 Abs. 7 UAbs. 3) |
| Verwalter quelloffener Software | Eingeschränkt tätigkeitsbezogen | Art. 14 Abs. 1 gilt, soweit sie an der Entwicklung beteiligt sind. Art. 14 Abs. 3 gilt für Vorfälle an den von ihnen für die Entwicklung bereitgestellten Systemen (Art. 24 Abs. 3). Die Pflicht knüpft an die Kenntnis der Ausnutzung an, nicht an das bloße Vorhandensein im Quelltext (Leitlinien, Rn. 216) |
| Betreiber und Anwender | Nein aus der Cyberresilienz-Verordnung | Für wesentliche und wichtige Einrichtungen gelten die Pflichten aus NIS 2 und BSI-Gesetz eigenständig |
Maßgeblich für die Zuständigkeit ist der Mitgliedstaat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden, hilfsweise der mit der höchsten Beschäftigtenzahl (Art. 14 Abs. 7 UAbs. 2).[1] Bei verteilter Produktverantwortung im Konzern ergeben sich daraus Verfahrenssprache und Ansprechstelle. Die Zuordnung gehört dokumentiert, bevor der erste Vorfall eintritt.
¶Die Pflicht gilt, der Bußgeldrahmen ruht
Die Meldepflicht gilt ab dem 11. September 2026 vollständig. Der unionsrechtliche Bußgeldrahmen und die Marktüberwachungsbefugnisse gelten erst ab dem 11. Dezember 2027. Beide Ebenen fallen um rund 15 Monate auseinander.
Nach Wortlaut und Regelungsaufbau folgt das aus Art. 71 Abs. 2 CRA, der ausschließlich Art. 14 und Kapitel IV vorzieht.[1] Der deutsche Gesetzgeber teilt diese Lesart. Der Regierungsentwurf lässt die Vorschriften über Marktüberwachung, Bußgeldverfahren und Zuständigkeit nach seinem Art. 4 Abs. 4 erst am 11. Dezember 2027 in Kraft treten. Vorgezogen sind allein die Notifizierung zum 11. Juni 2026 und eine Aufgabenzuweisung an das Bundesamt zum 11. September 2026.[10] Der Befund hat drei Folgen. Erstens ist die verbreitete Darstellung, ab dem 11. September 2026 drohten Bußgelder bis 15 Millionen Euro, in dieser Zuspitzung unzutreffend. Zweitens ist zu trennen, was die Verordnung selbst leistet und was das nationale Recht ergänzt. Der Bußgeldrahmen steht in Art. 64 Abs. 2 CRA und ist als Verordnungsrecht unmittelbar anwendbar. Der deutsche Gesetzentwurf schafft deshalb keinen neuen materiellen Tatbestand, sondern erklärt das Ordnungswidrigkeitengesetz für anwendbar und bestimmt die zuständige Behörde.[10] Die Frage ist damit allein die zeitliche. Drittens bleibt eine Pflicht eine Pflicht, auch wenn die Geldbuße noch nicht greift.
Die Gegenposition, die zu prüfen ist
Vertretbar ist die Auffassung, eine ab dem 11. September 2026 anwendbare Pflicht müsse durchsetzbar sein, sodass Art. 64 insoweit vorgezogen anzuwenden sei. Dafür spricht der Effektivitätsgrundsatz. Dagegen sprechen der Wortlaut des Art. 71 Abs. 2, der die Ausnahmen abschließend benennt, der Umstand, dass auch Kapitel V nicht vorgezogen ist, und die gestaffelte Inkrafttretensregelung des deutschen Entwurfs. Offene Frage Eine gerichtliche Klärung liegt nicht vor.
Das Fehlen eines Bußgeldtatbestands bedeutet keine Sanktionsfreiheit. Die Meldepflicht ist bis zum 11. Dezember 2027 lediglich nicht eigenständig bußgeldbewehrt. Daneben stehen vertragliche Ansprüche, soweit eine Vertragspflicht verletzt ist und ein Schaden entsteht, die Zusicherung der Rechtskonformität im Liefervertrag und die Prüfung durch Kunden und Erwerber. Ab Dezember 2027 können die Marktüberwachungsbehörden zudem vorhandene Prozesse, Aufzeichnungen und die Meldehistorie in ihre Prüfung einbeziehen. Eine rückwirkende Sanktionierung von Verstößen aus einem Zeitraum, in dem der Sanktionstatbestand noch nicht anwendbar war, folgt daraus nicht.
Offen ist das subjektive Element. Der Entwurf erklärt das Ordnungswidrigkeitengesetz für entsprechend anwendbar und nimmt davon nur § 17 und § 30 Abs. 1 und 2 aus. § 10 OWiG bleibt damit anwendbar, und danach ist fahrlässiges Handeln nur ahndbar, wenn das Gesetz es ausdrücklich mit Geldbuße bedroht. Art. 64 CRA enthält keine solche Fahrlässigkeitsformel. Ob ein fahrlässiges Fristversäumnis geahndet werden kann, ist deshalb ungeklärt. Der Rahmen ist ein Höchstmaß und keine Prognose der Zumessung. Art. 64 Abs. 5 verlangt, Art, Schwere und Dauer des Verstoßes, frühere Geldbußen sowie Größe und Marktanteil des Wirtschaftsakteurs zu berücksichtigen.[1] Für einen mittelständischen Hersteller wirkt der absolute Betrag von 15 Millionen Euro anders als der Umsatzanteil, für einen Konzern umgekehrt.
¶Zwei Auslöser, zwei Fristanker
Die beiden Meldeauslöser sind unterschiedlich konstruiert. Bei der Schwachstelle ist die aktive Ausnutzung nachzuweisen. Beim zweiten Tatbestand muss ein Sicherheitsvorfall eingetreten sein. Für seine Einstufung als schwerwiegend genügt aber, dass er die in Art. 14 Abs. 5 CRA genannten Schutzgüter beeinträchtigt oder hierzu konkret geeignet ist. Ein bereits eingetretener Schaden ist nicht erforderlich.
Wann Kenntnis vorliegt
Amtliche Auslegung Entdeckt der Hersteller ein verdächtiges Ereignis oder wird er von einem Dritten darauf hingewiesen, hat er es unverzüglich zu bewerten. Kenntnis liegt vor, sobald er nach dieser Erstbewertung mit hinreichendem Grad an Gewissheit davon ausgehen kann, dass eine Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Vorfall eingetreten ist und die Sicherheit des Produkts beeinträchtigt hat (Leitlinien, Rn. 213).[6]
Die Kommission richtet diesen Begriff ausdrücklich an zwei bestehenden Regelwerken aus, nämlich an Erwägungsgrund 31 der Durchführungsverordnung (EU) 2024/2690 zu NIS 2 und an Abschnitt II A der Leitlinien 9/2022 zur Meldung von Datenschutzverletzungen (Rn. 212). Wer seine Kenntnisdefinition für die DSGVO bereits festgelegt hat, kann sie übernehmen.
Daraus folgt zweierlei. Die 24-Stunden-Frist beginnt nicht erst mit dem forensischen Beweis. Und wer die Erstbewertung hinauszögert, verschiebt den Fristbeginn nicht, sondern verletzt die Pflicht zur unverzüglichen Bewertung (Rn. 214). Zu beachten bleibt, dass die Kenntnisformel der Leitlinien von einer bereits eingetretenen Beeinträchtigung spricht, während Art. 14 Abs. 5 CRA auch die bloße Eignung genügen lässt. Die unverbindliche Formel der Kommission kann den weiter gefassten Gesetzeswortlaut nicht verengen.
Erster Auslöser: die aktiv ausgenutzte Schwachstelle
Erforderlich sind verlässliche Nachweise dafür, dass ein böswilliger Akteur die Schwachstelle in einem System ohne Zustimmung des Systemeigners ausgenutzt hat (Art. 3 Nr. 42 CRA).[1] Erwägungsgrund 68 beschreibt den Regelfall so, dass der Hersteller feststellt, eine Sicherheitsverletzung bei Nutzern oder Dritten beruhe auf der Nutzung eines Fehlers in einem seiner Produkte. Ausdrücklich nicht meldepflichtig sind Schwachstellen, die ohne böswillige Absicht bei in gutem Glauben ausgeführten Tests, Untersuchungen, Korrekturen oder Offenlegungen festgestellt werden. Ein Fund aus einem eigenen Penetrationstest oder aus einem Bug-Bounty-Programm ist damit für sich genommen kein Meldeauslöser.
Gilt: der Meldeauslöser liegt vor
- Ein Kunde meldet einen erfolgreichen Angriff, dessen Einstiegspunkt eine Schwäche der Authentifizierungsfunktion des gelieferten Geräts ist.
- Eine Sicherheitsbehörde übermittelt Telemetriedaten, die die Ausnutzung einer Schwachstelle des Produkts in Kundennetzen belegen.
- Angreifer haben Schadcode in den Freigabekanal eingeschleust, über den Sicherheitsaktualisierungen verteilt werden. Erwägungsgrund 68 benennt diesen Fall als schwerwiegenden Vorfall.
Gilt nicht: kein Meldeauslöser nach Art. 14
- Ein Sicherheitsforscher meldet eine bislang unbekannte Schwachstelle im Rahmen einer koordinierten Offenlegung, ohne Hinweise auf eine Ausnutzung.
- Ein Scanner findet eine bekannte Schwachstelle in einer eingebundenen Fremdkomponente, ohne Nachweise einer Ausnutzung des eigenen Produkts.
- Der Hersteller vermutet eine Ausnutzung, verfügt aber über keine verlässlichen Nachweise.
Schwachstellen in Fremdkomponenten
Amtliche Auslegung Enthält das Produkt eine aktiv ausgenutzte Schwachstelle, die aus einer Fremdkomponente stammt, meldet der Hersteller des Produkts. Weiß er dagegen nur, dass eine Fremdkomponente eine Schwachstelle enthält, die in seinem Produkt nicht ausnutzbar ist, etwa weil der verwundbare Code nicht erreichbar ist, oder die dort nicht ausgenutzt wurde, besteht keine Meldepflicht nach Art. 14 (Leitlinien, Rn. 218).[6]
Drei Pflichten bleiben in diesem Fall bestehen. Die freiwillige Meldung nach Art. 15 CRA steht offen. Die Schwachstellenbehandlung nach Anhang I Teil II ist einzuhalten, soweit sie anwendbar ist. Und nach Art. 13 Abs. 6 CRA ist die Schwachstelle an denjenigen zu melden, der die Komponente herstellt oder pflegt.
Zweiter Auslöser: der schwerwiegende Sicherheitsvorfall
Ein Vorfall mit Auswirkungen auf die Sicherheit des Produkts gilt als schwerwiegend, wenn er sich negativ auf die Fähigkeit des Produkts auswirkt oder auswirken kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder wenn er zur Einführung oder Ausführung von Schadcode im Produkt oder im Netz des Nutzers geführt hat oder führen kann (Art. 14 Abs. 5 CRA).[1] Die beiden Varianten sind alternativ verknüpft, sodass eine von ihnen genügt. Beide enthalten eine Eignungsformel, sodass ein bereits eingetretener Schaden nicht erforderlich ist.
Daraus folgt keine Befugnis, die Entwicklung oder Bereitstellung einer gebotenen Abhilfe hinauszuschieben. Die Pflichten aus dem Vertrag und aus dem Deliktsrecht bleiben unberührt, und ab Dezember 2027 tritt die Schwachstellenbehandlung nach Anhang I Teil II als eigenständige Pflicht hinzu. Beim Vorfall knüpft der Abschlussbericht dagegen an die eigene vorherige Meldung an und ist damit kalendarisch fixiert. Ergänzend kann das als Koordinator benannte CSIRT einen Zwischenbericht über Statusaktualisierungen anfordern (Art. 14 Abs. 6 CRA).[1]
Die Information der Nutzer
Art. 14 Abs. 8 verpflichtet den Hersteller, die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall sowie über mögliche Risikominderungs- und Korrekturmaßnahmen zu informieren, gegebenenfalls in einem strukturierten, maschinenlesbaren Format.[1] Versäumt der Hersteller die rechtzeitige Information, können die als Koordinatoren benannten CSIRTs die Informationen selbst bereitstellen, wenn sie dies für verhältnismäßig und erforderlich halten. Diese Ersatzbefugnis ist der praktisch schärfste Teil der Vorschrift, weil sie dem Hersteller die Kontrolle über die eigene Kommunikation nimmt.
¶Vier Regime, ein Vorfall
Ein einziger Sicherheitsvorfall kann vier voneinander unabhängige Meldepflichten auslösen. Sie haben verschiedene Adressaten, verschiedene Auslöser und verschiedene Empfänger, und keine von ihnen erfüllt eine andere mit.
| Merkmal | CRA Art. 14 | NIS 2 und BSIG | DSGVO Art. 33 | DORA |
|---|---|---|---|---|
| Adressat | Hersteller des Produkts | Wesentliche und wichtige Einrichtung als Betreiber | Verantwortlicher der Verarbeitung | Finanzunternehmen |
| Auslöser | Aktiv ausgenutzte Schwachstelle oder schwerwiegender Vorfall am Produkt | Erheblicher Sicherheitsvorfall beim Betrieb | Verletzung des Schutzes personenbezogener Daten | Schwerwiegender IKT-bezogener Vorfall |
| Erste Frist | 24 Stunden ab Kenntnis | 24 Stunden ab Kenntnis | 72 Stunden ab Bekanntwerden | Frühwarnung nach den Vorgaben der Verordnung |
| Empfänger | CSIRT-Koordinator und ENISA über die Meldeplattform | BSI | Zuständige Datenschutzaufsichtsbehörde | Zuständige Finanzaufsichtsbehörde |
| Information Betroffener | Nutzer des Produkts, Art. 14 Abs. 8 | Empfänger der Dienste, soweit angeordnet | Betroffene Personen bei hohem Risiko, Art. 34 | Kunden, soweit angeordnet |
| Sanktionsebene | Nach der hier vertretenen Auslegung ab 11.12.2027 | Anwendbar | Anwendbar | Anwendbar |
Erwägungsgrund 72 regt nationale Anlaufstellen an, ordnet sie aber nicht an.[1] Ein Angriff auf den Freigabekanal eines Herstellers, der zugleich wesentliche Einrichtung ist und bei dem Kundendaten abfließen, erzeugt drei Meldungen an drei Stellen.
¶Mit dem Abschlussbericht ist es nicht vorbei
Der Abschlussbericht beendet den Vorgang nicht. Er löst eine zweite Reihe von Pflichten und Risiken aus, die jeweils eigene Auslöser haben und in der Berichterstattung fast nie vorkommen.
- Die Meldepflicht überdauert den Unterstützungszeitraum. Anders als die Schwachstellenbehandlung, die nur für dessen Dauer gilt, besteht die Meldepflicht nach Ende der Unterstützung fort. Umgekehrt unterliegt ein vor dem 11. Dezember 2027 in Verkehr gebrachtes Produkt oder ein Produkt nach Ablauf der Unterstützung nicht dem Anhang I Teil II (Leitlinien, Rn. 210).[6]
- Eine Aufnahme in die europäische Schwachstellendatenbank setzt drei Dinge voraus. Nach Art. 17 Abs. 5 CRA muss die Schwachstelle öffentlich bekannt sein, eine Abhilfe verfügbar sein und der Hersteller einverstanden sein. Umgekehrt schützt Art. 17 Abs. 4 CRA den Meldenden: Die Meldung als solche setzt ihn keiner erhöhten Haftung aus.
- Die Offenlegung erfolgt in zwei Stufen. Die Unterrichtung nach Art. 14 Abs. 8 CRA ist risikobasiert und verhältnismäßig anzuwenden und verlangt keine wahllose Veröffentlichung. Bei Produkten in sensiblen Umgebungen kann die Information auf die betroffenen Kunden beschränkt werden, weil eine öffentliche Beschreibung technischer Einzelheiten das Risiko selbst erhöhen kann. Erst nach Behebung ist eine breitere Offenlegung angezeigt, und Anhang I Teil II Nr. 4 verlangt sie, sobald ein Sicherheitsupdate verfügbar ist (Leitlinien, Rn. 220 f.).[6]
- Vertragliche Fristen laufen parallel und kürzer. Rahmenverträge mit Großkunden sehen häufig Unterrichtungsfristen von wenigen Stunden vor, die durch die Meldung an das CSIRT nicht erfüllt werden. Die Meldung dokumentiert Kenntnis und Zeitpunkt für ein späteres Verfahren.
- Die Meldehistorie wird ab Dezember 2027 prüfbar. Die Marktüberwachungsbehörden können vorhandene Aufzeichnungen einbeziehen, wenn sie die Schwachstellenbehandlung eines Produkts bewerten.
¶Was bis zum 11. September zu tun ist
Die folgenden Schritte und Textbausteine sind eine risikoorientierte Empfehlung des Verfassers. Sie folgen nicht unmittelbar aus der Verordnung, sondern aus der Bewertung, welche Nachweise gegenüber Behörden, Kunden und Prüfern voraussichtlich verlangt werden.
- Produktinventar erstellenAlle auf dem Unionsmarkt bereitgestellten Produkte mit digitalen Elementen erfassen, einschließlich Altbestand und Datenfernverarbeitung. Je Produkt die Mitgliedstaaten der Bereitstellung dokumentieren.
- Herstellerrolle klärenJe Produkt festhalten, ob das Unternehmen Hersteller, Einführer, Händler oder Verwalter quelloffener Software ist. Eigenmarken, White-Label und wesentliche Veränderungen gesondert prüfen.
- Zuständiges CSIRT bestimmenDen Mitgliedstaat der Hauptniederlassung nach Art. 14 Abs. 7 CRA ermitteln und schriftlich festhalten. Ohne Unionsniederlassung die Rangfolge über Bevollmächtigten, Einführer, Händler und Nutzer durchlaufen.
- Zugang vorbereitenEin EU-Login-Konto anlegen und Personen mit Meldebefugnis benennen. Registrierung und Validierung durch das CSIRT einplanen.
- Auslöseschwelle definierenSchriftlich festlegen, welche Erkenntnisse als verlässliche Nachweise gelten und wer entscheidet. Rufbereitschaft rund um die Uhr einrichten.
- Meldevorlagen anlegenVorlagen für alle drei Stufen und für die Nutzerinformation mit den Pflichtfeldern abgleichen. Fristenlauf und Freigaben im Ticketsystem festhalten.
- Probelauf durchführenEinen vollständigen Durchlauf anhand eines fiktiven Falls üben und die Zeitmessung dokumentieren. Der erste Ernstfall darf nicht der erste Durchlauf sein.
Musterformulierungen
Die folgenden Formulierungen sind unverbindliche Ausgangspunkte. Sie sind vor Verwendung an Produkt, Rollenverteilung, Vertragsstruktur und Reaktionsprozess anzupassen.
Vertragsklausel für die Lieferantenbeziehung
Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, spätestens innerhalb von zwölf Stunden nach eigener Kenntniserlangung, über jede aktiv ausgenutzte Schwachstelle und jeden schwerwiegenden Sicherheitsvorfall im Sinne des Art. 14 der Verordnung (EU) 2024/2847, die eine gelieferte Komponente betreffen. Die Unterrichtung benennt die betroffene Komponente einschließlich Versionsstand, die Art der Ausnutzung sowie verfügbare Korrektur- und Risikominderungsmaßnahmen. Sie ist bei neuen Erkenntnissen fortzuschreiben und über den vereinbarten gesicherten Kommunikationsweg zu übermitteln. Die Vertraulichkeit und eine etwaige koordinierte Offenlegung bleiben unberührt. Die Pflicht besteht unabhängig davon, ob der Auftragnehmer selbst meldepflichtig ist, und lässt die gesetzliche Verantwortlichkeit des Auftraggebers als Hersteller unberührt.
Merkblatt für den Ernstfall
- Wer meldet
- Der Hersteller des Produkts mit digitalen Elementen, bei Eigenmarken der Anbieter unter eigenem Namen. Bei Herstellern ohne Unionsniederlassung reicht der Bevollmächtigte im Rahmen seines Mandats ein.
- Wohin
- Einheitliche Meldeplattform der ENISA. Empfänger sind gleichzeitig das als Koordinator benannte CSIRT der Hauptniederlassung und die ENISA. In Deutschland ist das beim BSI angesiedelte CSIRT zuständig.
- Wann
- Frühwarnung binnen 24 Stunden ab Kenntnis. Meldung binnen 72 Stunden ab Kenntnis. Abschlussbericht binnen 14 Tagen ab Verfügbarkeit der Abhilfe, bei Vorfällen binnen eines Monats ab der Meldung.
- Was in die Frühwarnung gehört
- Meldungsart, Meldestufe, Hersteller, Produkt, Titel, Mitgliedstaaten der Bereitstellung, bei Vorfällen der Verdacht böswilliger Handlungen.
- Was parallel zu prüfen ist
- NIS 2 und BSI-Gesetz, Art. 33 DSGVO, sektorspezifische Meldepflichten, Nutzerinformation nach Art. 14 Abs. 8 CRA, vertragliche Informationsfristen.
- Was nicht zu melden ist
- Schwachstellen ohne Nachweis aktiver Ausnutzung sowie Funde aus gutgläubigen Tests und Offenlegungen.
¶Das Übergangsrecht wirkt hier umgekehrt
Bei Art. 14 wirkt das Übergangsrecht in die entgegengesetzte Richtung als bei allen anderen Pflichten. Wo sonst Bestandsschutz besteht, besteht hier keiner.
Art. 69 Abs. 2 unterwirft Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, den Anforderungen der Verordnung nur dann, wenn sie ab diesem Zeitpunkt wesentlich verändert werden. Absatz 3 nimmt davon die Pflichten des Art. 14 ausdrücklich aus und erstreckt sie auf alle Produkte im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.[1] Fachdebatte Eine fachöffentliche Auswertung hebt hervor, dass die Meldeverfahren deshalb nicht nur künftige Produkteinführungen, sondern auch Altprodukte abdecken müssen.[14]
Amtliche Auslegung Zeitlich knüpft die Pflicht an die Kenntniserlangung an. Die Leitlinien der Kommission unterscheiden dabei zwei Fälle (Rn. 217).[6] War dem Hersteller die aktive Ausnutzung bereits vor dem 11. September 2026 bekannt, besteht keine Nachmeldepflicht. Kannte er dagegen nur die Schwachstelle, nicht aber deren Ausnutzung, und tritt die Ausnutzung danach ein oder wird sie ihm danach bekannt, ist die Schwachstelle meldepflichtig. Der Kenntnisstand zum 10. September 2026 gehört dokumentiert, getrennt nach bekannter Schwachstelle und bekannter Ausnutzung.
Kleinst- und Kleinunternehmen: Erleichterung nur bei der Sanktion
Nach Art. 64 Abs. 10 lit. a gelten die Geldbußen nicht für Hersteller, die als Kleinst- oder Kleinunternehmen gelten, soweit es um die Nichteinhaltung der Frist nach Art. 14 Abs. 2 lit. a oder Abs. 4 lit. a geht, also der 24-Stunden-Frühwarnung. Die Meldepflicht selbst bleibt bestehen, ebenso die 72-Stunden-Frist und der Abschlussbericht. Erwägungsgrund 120 bestätigt diese Zuordnung und ergänzt, dass die Mitgliedstaaten gegen diese Einrichtungen auch keine anderweitigen finanziellen Sanktionen verhängen sollten. Die Einstufung folgt nicht aus einer einzelnen Kennzahl: Maßgeblich ist der Anhang der Empfehlung 2003/361/EG einschließlich der Regeln über Partner- und verbundene Unternehmen, die in Erwägungsgrund 5 ausdrücklich für anwendbar erklärt werden. Ein Mehrheitsgesellschafter mit eigenem Personal kann die Erleichterung deshalb beenden.
¶Neun Aussagen im Abgleich mit dem Text
Neun Aussagen kursieren derzeit besonders häufig. Fünf halten dem Wortlaut nicht stand, zwei sind verkürzt, eine ist im Ergebnis richtig und zeitlich falsch eingeordnet, eine lässt sich nicht belegen.
| Aussage | Verdikt | Befund und Normbeleg |
|---|---|---|
| „Ab dem 11.09.2026 drohen Bußgelder bis 15 Mio. Euro.“ | Richtig, aber später | Der Rahmen existiert, wird aber erst am 11.12.2027 anwendbar. Auch der deutsche Entwurf setzt seine Sanktionsvorschriften erst zu diesem Tag in Kraft (Art. 71 Abs. 2 CRA, Art. 4 Abs. 4 BSIG-E). |
| „Bestandsprodukte sind von der Meldepflicht ausgenommen.“ | Unzutreffend | Die Ausnahme des Absatzes 2 wird für Art. 14 durch Absatz 3 ausdrücklich aufgehoben (Art. 69 Abs. 2 und Abs. 3). |
| „Für Meldeverstöße gilt der Rahmen von 10 Mio. Euro oder 2 Prozent.“ | Unzutreffend | Art. 14 steht im höchsten Rahmen. Der Rahmen von 10 Millionen betrifft andere Vorschriften (Art. 64 Abs. 2 und Abs. 3). |
| „Kleine Unternehmen sind von der Meldepflicht befreit.“ | Nur teilweise | Ausgenommen ist allein die Geldbuße wegen Versäumung der Frühwarnfrist, nicht die Pflicht selbst (Art. 64 Abs. 10 lit. a). |
| „Open-Source-Verwalter sind von der Verordnung ausgenommen.“ | Verkürzt | Eine tätigkeitsbezogene Meldepflicht besteht, ausgeschlossen sind lediglich die Geldbußen (Art. 24 Abs. 3, Art. 64 Abs. 10 lit. b). |
| „Jede bekannt gewordene Schwachstelle ist zu melden.“ | Unzutreffend | Erforderlich sind verlässliche Nachweise einer Ausnutzung. Gutgläubige Forschung löst keine Pflicht aus (Art. 3 Nr. 42, ErwGr. 68). |
| „Eine CRA-Meldung erfüllt zugleich NIS 2 und DSGVO.“ | Unzutreffend | Die Regime haben unterschiedliche Adressaten. ErwGr. 72 regt lediglich nationale Anlaufstellen an (Art. 33 DSGVO). |
| „Wer unsicher ist, kann ab September 2026 freiwillig nach Art. 15 melden.“ | Praxis ja, Wortlaut offen | Art. 71 Abs. 2 zieht Art. 15 nicht ausdrücklich vor. Kommission und ENISA sehen die freiwillige Meldung nach dem Stichtag gleichwohl vor. |
| „Solange die Plattform nicht läuft, besteht keine Pflicht.“ | Unzutreffend | Der Geltungsbeginn folgt aus der Verordnung und ist von der technischen Bereitstellung unabhängig (Art. 71 Abs. 2). |
¶Der Druck kommt vom Kunden, nicht vom BSI
Der Meldeempfänger steht fest, die Behördenzuständigkeit für Aufsicht und Bußgeld ist national noch nicht in Kraft, und der wirtschaftliche Druck entsteht bis Dezember 2027 nicht über das Ordnungswidrigkeitenrecht.
Wer in Deutschland zuständig ist
Offene Frage Nach dem Regierungsentwurf und der vorgesehenen Verwaltungsstruktur soll das beim BSI angesiedelte CSIRT als Koordinator fungieren. Ein förmlicher Benennungsakt ist bislang nicht nachgewiesen, das Durchführungsgesetz nicht verkündet und die Liste der Koordinatoren nicht veröffentlicht. Das BSI stellt die dreistufige Meldung und die einheitliche Meldeplattform auf seiner Themenseite dar und weist darauf hin, dass die Mitgliedstaaten bis zum 11. Dezember 2026 für eine ausreichende Zahl notifizierter Stellen zu sorgen haben.[9] Eine amtliche Liste der als Koordinatoren benannten CSIRTs will die ENISA erst später bereitstellen.[8]
Die organisatorische Grundlage schafft das Gesetz zur Durchführung der Verordnung (EU) 2024/2847, vom Bundeskabinett am 29. April 2026 beschlossen[12] und als Bundestagsdrucksache 21/6134 vom 26. Mai 2026 vorliegend.[10] Es ändert das BSI-Gesetz und regelt vier Punkte.
§ 65 BSIG-E macht das Bundesamt zur nationalen Marktüberwachungsbehörde und verpflichtet es in Absatz 3 zur Einrichtung einer Beschwerdestelle, bei der Verbraucher auf eine Nichteinhaltung der Verordnung hinweisen können. § 66 BSIG-E bestimmt das Bundesamt zur notifizierenden Behörde und weist die Bewertung der Konformitätsbewertungsstellen der nationalen Akkreditierungsstelle zu. § 67 BSIG-E verpflichtet das Bundesamt zur Unterstützung kleiner und mittlerer Unternehmen sowie der Verwalter quelloffener Software, unter anderem durch ein Reallabor für Cyberresilienz nach Art. 33 Abs. 2 CRA.
Für die Sanktion gilt § 69 BSIG-E. Er erklärt für Verstöße nach Art. 64 Abs. 2 bis 4 CRA das Ordnungswidrigkeitengesetz für entsprechend anwendbar, nimmt davon aber § 17 OWiG und § 30 Abs. 1 und 2 OWiG ausdrücklich aus. Der Bußgeldrahmen und die Verbandsgeldbuße richten sich damit allein nach der Verordnung. § 70 BSIG-E benennt das Bundesamt als Verwaltungsbehörde im Sinne des § 36 Abs. 1 Nr. 1 OWiG und schließt Geldbußen gegen Behörden und sonstige öffentliche Stellen aus.
Der Verfahrensstand umfasst sieben Stationen. Vier davon sind erreicht.
✓ Referentenentwurf ·
Bundesministerium des Innern
✓ Kabinettbeschluss ·
Bundesregierung
✓ Erste Lesung ·
Bundestag, Überweisung an die Ausschüsse[11]
✓ Bundesrat ·
Keine Einwendungen im ersten Durchgang
○ Ausschussberatung
Innenausschuss federführend, laufend
○ Zweite und dritte Lesung
Termin nicht bekannt
○ Verkündung
Steht aus. Nach Art. 4 des Entwurfs treten die Sanktionsvorschriften erst am 11.12.2027 in Kraft
Für die Meldung selbst hat der Gesetzgebungsstand keine aufschiebende Wirkung. Die Verordnung gilt unmittelbar, und der Empfänger der Meldung steht mit dem CSIRT beim BSI fest. Eine praktisch bedeutsame Einschränkung ergibt sich aus Art. 52 Abs. 14 CRA. Fällt ein Produkt zugleich als Hochrisiko-KI-System unter die Verordnung (EU) 2024/1689, ist die für die KI-Aufsicht benannte Marktüberwachungsbehörde zuständig, sodass die Zuständigkeit in diesen Fällen nicht beim BSI liegt. Die Einordnung solcher Systeme führt Künstliche Intelligenz.[10]
Welcher Rechtsweg gegen Maßnahmen offensteht
Für das Bußgeldverfahren ist der Weg im Entwurf angelegt. § 69 Abs. 2 BSIG-E erklärt neben dem Ordnungswidrigkeitengesetz die Strafprozessordnung und das Gerichtsverfassungsgesetz für entsprechend anwendbar. Gegen einen Bußgeldbescheid des Bundesamts führt danach der Einspruch mit anschließender Entscheidung des Amtsgerichts. Die Staatsanwaltschaft kann das Verfahren nur mit Zustimmung der Bescheid erlassenden Behörde einstellen.[10]
Eigene Auslegung Für Maßnahmen der Marktüberwachung unterhalb der Geldbuße enthalten weder die Verordnung noch der Entwurf eine Rechtswegzuweisung. Es bleibt insoweit bei den allgemeinen Regeln, sodass Anordnungen des Bundesamts Verwaltungsakte sind und der Verwaltungsrechtsweg eröffnet ist. Daneben bestehen der Zivilrechtsweg für Ansprüche von Kunden und Wettbewerbern, die Beschwerdestelle nach § 65 Abs. 3 BSIG-E und die Aufsichtsbeschwerde.
Die lauterkeitsrechtliche Flanke greift nur teilweise
Eigene Auslegung Für die Meldung an CSIRT und ENISA greift § 3a UWG nach hier vertretener Auffassung nicht. Die Vorschrift ist auf Marktverhaltensregelungen beschränkt, und eine Pflicht zur Information einer Aufsichtsstelle regelt das Verhalten gegenüber der Behörde, nicht gegenüber Marktteilnehmern. Etwas anderes ist für die Nutzerinformation nach Art. 14 Abs. 8 CRA zu erwägen, weil sie sich an die Abnehmer richtet und deren Entscheidung über die weitere Verwendung des Produkts beeinflusst. Insoweit kommt eine Einordnung als Marktverhaltensregelung ebenso in Betracht wie ein Informationsverstoß nach § 5a UWG. Eine veröffentlichte Entscheidung dazu gibt es nicht, sodass die Einschätzung eine eigene Bewertung bleibt. Hinzu kommt eine kollektive Flanke: Art. 65 CRA regelt die Verbandsklage, und Art. 67 CRA nimmt die Verordnung in den Anhang I der Richtlinie (EU) 2020/1828 auf. Beide Vorschriften werden erst mit dem allgemeinen Geltungsbeginn anwendbar.[1]
Wo der Druck tatsächlich entsteht
- Lieferkette. Kunden, die als wesentliche oder wichtige Einrichtungen die Sicherheit ihrer Lieferkette steuern müssen, verlagern die Anforderung vertraglich auf ihre Anbieter. Der Nachweis eines funktionierenden Meldeprozesses wird dort abgefragt, bevor eine Behörde fragt.
- Vergabe. Öffentliche Auftraggeber stellen schon heute eigene Cybersicherheitsanforderungen. Die Berücksichtigungspflicht des Art. 5 CRA wirkt dagegen erst ab dem 11. Dezember 2027.
- Zusicherung und Transaktion. Wer die Einhaltung geltenden Rechts zusichert, sichert ab dem 11. September 2026 auch Art. 14 CRA zu. In der Due Diligence wird ein fehlender Meldeprozess zum Kaufpreisthema.
Die ersten drei Punkte beruhen auf Beobachtungen aus der Beratungspraxis und nicht auf einer Erhebung.
¶Die Regelung überzeugt, die Vorbereitung nicht
Die Bewertung fällt zweigeteilt aus. Die Regelungsentscheidung ist folgerichtig, die Umsetzungsvorbereitung bleibt hinter ihr zurück.
Überzeugend ist die Grundentscheidung, die Meldepflicht vorzuziehen. Sie verlangt kein Produktredesign, sondern eine organisatorische Fähigkeit. Ebenso überzeugend ist die Erstreckung auf den Bestand, weil eine nur auf Neuprodukte beschränkte Pflicht ausgerechnet die langlebigen Geräte ausgespart hätte.
Handwerklich schwächer ist die Umsetzungsseite. Die öffentliche Adresse der Plattform war zum Rechtsstand nicht veröffentlicht. Programmierschnittstellen für eine automatisierte Meldung stellt die ENISA zunächst nicht bereit, sodass große Hersteller manuell arbeiten.[8]
Ein eigener Kritikpunkt betrifft die Registrierung. Die ENISA rät, sich erst bei konkretem Meldeanlass zu registrieren, um die Prüflast bei den CSIRTs zu begrenzen.[8] Aus Sicht des Herstellers verlegt das den Kontoaufbau in die ersten Stunden eines laufenden Angriffs. Sanktioniert wird nicht das Vorhalten eines Kontos, sondern die Fristversäumnis.
| Offene Frage | Betroffene Norm | Praktische Bedeutung |
|---|---|---|
| Wann beginnt die Kenntnis, und wessen Kenntnis wird zugerechnet? | Art. 14 Abs. 2 lit. a CRA | Entscheidet über den Fristbeginn. Betrifft Support, Vertrieb, Tochtergesellschaften und externe Dienstleister |
| Ist fahrlässiges Handeln ahndbar? | Art. 64 CRA, § 10 OWiG, § 69 BSIG-E | Der Entwurf schließt § 17 OWiG aus, nicht aber § 10. Art. 64 CRA enthält keine Fahrlässigkeitsformel |
| Ist Art. 15 vor dem 11.12.2027 formell anwendbar? | Art. 71 Abs. 2, Art. 15, Art. 24 Abs. 3 CRA | Betrifft die freiwillige Meldung und ebenso die Erstreckung auf Verwalter quelloffener Software |
| Wann sind Hinweise Dritter verlässliche Nachweise? | Art. 3 Nr. 42 CRA | Entscheidet, ob eine Meldung Pflicht oder freiwillig ist. Betrifft Threat-Intelligence-Zulieferungen |
| Wer meldet bei geteilter Produktverantwortung im Konzern? | Art. 3 Nr. 13, Art. 21, 22 CRA | Entscheidet über Adressat und zuständiges CSIRT bei Eigenmarken und Auftragsentwicklung |
| Wie verhält sich die Nutzerinformation zur koordinierten Offenlegung? | Art. 14 Abs. 8 CRA | Betrifft den Zeitpunkt der Veröffentlichung vor Verfügbarkeit eines Patches |
| Ist Art. 14 Abs. 8 CRA eine Marktverhaltensregelung? | Art. 14 Abs. 8 CRA, § 3a UWG | Entscheidet über die Abmahnbarkeit einer unterbliebenen Nutzerinformation |
Rechtsprechung zu Art. 14 CRA gibt es nicht, weder im Eil- noch im Hauptsacheverfahren. Das ist bei einer noch nicht anwendbaren Vorschrift folgerichtig, sollte aber ausdrücklich gesagt werden, weil zahlreiche Praxisbeiträge mit einer Bestimmtheit formulieren, die nur eine gefestigte Auslegung rechtfertigen würde. Die fachöffentliche Auswertung konzentriert sich bislang auf die Fristen. Die Erstreckung auf den Bestand nach Art. 69 Abs. 3, die zeitliche Trennung von Pflicht und Sanktion und die Berichtigung des Art. 64 Abs. 10 kommen kaum vor.
¶Ein Teil der Vorarbeit ist wiederverwendbar
Wer eine belastbare 24-Stunden-Meldekette aufbaut, schafft wichtige organisatorische Grundlagen für die ab Dezember 2027 verlangte Schwachstellenbehandlung. Der weitere Umsetzungsaufwand nach Anhang I Teil II bleibt eigenständig zu prüfen.
Die Meldekette deckt Erkennung, Eskalation, Fristensteuerung, Freigaben und Kommunikation ab. Diese organisatorischen Teile lassen sich später weiterverwenden. Sie ersetzen weder die technische Prüfung eingebundener Komponenten noch die Update-, Dokumentations-, Offenlegungs- und Stücklistenprozesse nach Anhang I Teil II CRA. Absehbar ist zweierlei. Fachdebatte Die harmonisierten Normen nach dem Normungsauftrag M/606 sollen in Stufen erscheinen, wobei die beiden horizontalen Kernnormen zu sicherer Entwicklung und Schwachstellenbehandlung nach fachöffentlicher Auswertung bis zum 30. August 2026 erwartet werden.[13] Und der zweite Vorschlag des Digitalomnibus-Pakets sieht eine gemeinsame Anlaufstelle für Meldungen vor, die auf der Meldeplattform der Cyberresilienz-Verordnung aufsetzt. Der KI-Teil des Pakets ist als Verordnung (EU) 2026/1744 am 24. Juli 2026 im Amtsblatt erschienen und ändert die Cyberresilienz-Verordnung nicht.[5] Für den datenbezogenen Teil lagen zum Rechtsstand keine abgeschlossenen Trilogverhandlungen vor.
Verzögerter Start der Plattform
Auslöser: technische Probleme oder eine verspätete Freigabe. Rechtsfolge: Die Pflicht besteht unverändert fort, weil sie an die Verordnung anknüpft. Wirtschaftlich: Hersteller müssen Ersatzwege dokumentieren und den Meldeversuch beweisen können. Anknüpfung: fehlende veröffentlichte Plattformadresse zum Rechtsstand.
Zentrale Anlaufstelle kommt
Auslöser: Einigung über den datenbezogenen Teil des Digitalomnibus. Rechtsfolge: Die Meldewege für DSGVO, NIS 2, DORA und CRA werden zusammengeführt. Wirtschaftlich: ein zweiter Umbau der Meldeprozesse, voraussichtlich 2027 oder 2028. Anknüpfung: Aufsetzen des Vorschlags auf der Plattform nach Art. 16 CRA.
Beide Verläufe sind Prognosen und keine Feststellungen. Wirtschaftlich entscheidet vor allem die Frage des Bestands. Wer Art. 69 Abs. 3 übersieht und seine Meldefähigkeit nur für neue Produktlinien aufbaut, hat den Prozess für den größeren Teil seines Portfolios nicht aufgesetzt. Das fällt erst im Ernstfall auf, und dann innerhalb von 24 Stunden.
¶Häufige Fragen
Ab wann genau gilt die Meldepflicht nach der Cyberresilienz-Verordnung?
Art. 14 der Verordnung (EU) 2024/2847 gilt ab dem 11. September 2026. Die übrige Verordnung gilt ab dem 11. Dezember 2027, Kapitel IV zur Notifizierung von Konformitätsbewertungsstellen bereits seit dem 11. Juni 2026. Diese Staffelung ergibt sich aus Art. 71 Abs. 2 CRA.
Welche Ereignisse sind meldepflichtig?
Meldepflichtig sind zwei Ereignisse. Erstens jede aktiv ausgenutzte Schwachstelle, also eine Schwachstelle, zu der verlässliche Nachweise für eine Ausnutzung durch einen böswilligen Akteur ohne Zustimmung des Systemeigners vorliegen. Zweitens jeder schwerwiegende Sicherheitsvorfall mit Auswirkung auf die Sicherheit des Produkts im Sinne des Art. 14 Abs. 5 CRA. Eine bloß entdeckte Schwachstelle ohne Ausnutzung ist nicht meldepflichtig.
Gilt die Meldepflicht auch für Produkte, die seit Jahren im Markt sind?
Ja. Art. 69 Abs. 2 CRA nimmt vor dem 11. Dezember 2027 in Verkehr gebrachte Produkte zwar von den übrigen Anforderungen aus, Art. 69 Abs. 3 CRA erstreckt die Pflichten des Art. 14 aber ausdrücklich auf alle diese Produkte. Der Altbestand ist von Art. 14 damit vollständig erfasst, von den übrigen Produktpflichten dagegen nicht.
An wen wird in Deutschland gemeldet?
Die Meldung geht über die einheitliche Meldeplattform der ENISA gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA. In Deutschland ist das beim BSI angesiedelte CSIRT der Empfänger. Welches CSIRT zuständig ist, richtet sich nach Art. 14 Abs. 7 CRA und damit nach dem Mitgliedstaat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden.
Welche Fristen gelten im Einzelnen?
Eine Frühwarnung ist unverzüglich, in jedem Fall binnen 24 Stunden nach Kenntniserlangung zu übermitteln. Eine Meldung folgt binnen 72 Stunden nach Kenntniserlangung. Der Abschlussbericht ist bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme fällig, bei schwerwiegenden Vorfällen binnen eines Monats nach der Meldung nach 72 Stunden.
Drohen ab dem 11. September 2026 Bußgelder bis 15 Millionen Euro?
In dieser Zuspitzung nicht. Der Rahmen von bis zu 15 Millionen Euro oder, bei Unternehmen, 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist steht in Art. 64 Abs. 2 CRA. Diese Vorschrift gehört zu Kapitel VII und wird nach Art. 71 Abs. 2 CRA erst am 11. Dezember 2027 anwendbar. Der deutsche Regierungsentwurf setzt seine Vorschriften über Marktüberwachung, Bußgeldverfahren und Zuständigkeit nach Art. 4 Abs. 4 ebenfalls erst zu diesem Tag in Kraft. Eine auf den Effektivitätsgrundsatz gestützte Gegenauffassung ist im Beitrag dargestellt, Rechtsprechung liegt nicht vor.
Hat ein Verstoß bis Dezember 2027 überhaupt Konsequenzen?
Ja. Nach der hier vertretenen Auslegung droht vor dem 11. Dezember 2027 lediglich noch keine Geldbuße nach Art. 64 CRA. In Betracht kommen weiterhin vertragliche Ansprüche, wenn eine einschlägige Vertragspflicht verletzt ist und daraus ein Schaden entsteht, Folgen aus zugesicherter Rechtskonformität in Liefer- und Softwareverträgen, Anforderungen von Kunden aus deren eigenen Lieferkettenpflichten sowie Nachteile in Vergabe- und Transaktionsverfahren. Ein Verstoß gegen Art. 14 CRA begründet dabei nicht von selbst einen zivilrechtlichen Anspruch.
Sind kleine Unternehmen von der Meldepflicht befreit?
Nein. Art. 64 Abs. 10 lit. a CRA schließt lediglich Geldbußen gegen Kleinst- und Kleinunternehmen wegen Versäumung der 24-Stunden-Frist aus. Die Meldepflicht selbst, die 72-Stunden-Frist und der Abschlussbericht bleiben unberührt. Ob ein Unternehmen als Kleinst- oder Kleinunternehmen gilt, folgt nicht allein aus der Beschäftigtenzahl, sondern aus dem Anhang der Empfehlung 2003/361/EG einschließlich der Regeln über Partner- und verbundene Unternehmen.
Muss eine Schwachstelle in einer Fremdkomponente gemeldet werden?
Nur, wenn sie im eigenen Produkt aktiv ausgenutzt wird. Enthält das Produkt eine aktiv ausgenutzte Schwachstelle, die aus einer Fremdkomponente stammt, meldet der Hersteller des Produkts. Ist die Schwachstelle im eigenen Produkt dagegen nicht ausnutzbar oder wurde sie dort nicht ausgenutzt, besteht keine Meldepflicht nach Art. 14 CRA. Offen bleiben die freiwillige Meldung nach Art. 15 CRA, die Schwachstellenbehandlung nach Anhang I Teil II und die Meldung an den Hersteller oder Pfleger der Komponente nach Art. 13 Abs. 6 CRA.
Welche Pflichten treffen Verwalter quelloffener Software?
Ihre Meldepflicht ist tätigkeitsbezogen. Nach Art. 24 Abs. 3 CRA gilt Art. 14 Abs. 1 für sie, soweit sie an der Entwicklung des Produkts beteiligt sind, und Art. 14 Abs. 3 nur für Vorfälle, die die von ihnen für die Entwicklung bereitgestellten Netz- und Informationssysteme betreffen. Geldbußen sind nach Art. 64 Abs. 10 lit. b CRA insgesamt ausgeschlossen.
Ersetzt die CRA-Meldung Meldungen nach NIS 2 oder DSGVO?
Nein. Die Regime haben unterschiedliche Adressaten. Die Cyberresilienz-Verordnung richtet sich an den Hersteller des Produkts, NIS 2 und das BSI-Gesetz richten sich an Einrichtungen als Betreiber, die DSGVO richtet sich an Verantwortliche bei Verletzungen des Schutzes personenbezogener Daten. Erwägungsgrund 72 CRA regt lediglich an, dass die Mitgliedstaaten nationale Anlaufstellen für mehrere Meldepflichten einrichten.
Was ist zu tun, wenn die Meldeplattform am Stichtag nicht erreichbar ist?
Die Pflicht folgt aus der Verordnung und besteht unabhängig von der technischen Verfügbarkeit der Plattform. Als beweissichernde Maßnahme empfiehlt sich, den Meldeversuch mit Zeitstempel zu dokumentieren, das zuständige CSIRT über den regulären Kontaktweg zu unterrichten und die Meldung über die Plattform nachzuholen, sobald sie verfügbar ist. Ein gewöhnlicher Kontakt ersetzt die vorgeschriebene Meldung über die Plattform rechtlich nicht. Die als Koordinatoren benannten CSIRTs sind nach Art. 17 Abs. 6 CRA zu Helpdesk-Unterstützung verpflichtet, insbesondere gegenüber kleinen und mittleren Unternehmen.
Welche Angaben verlangt die Frühwarnung nach 24 Stunden?
Nach der Verfahrensbeschreibung der ENISA sind auf der ersten Stufe insbesondere die Art der Meldung, die Meldestufe, der Name des Herstellers, das betroffene Produkt und ein Titel verpflichtend, ferner die Mitgliedstaaten der Bereitstellung, soweit die Information vorliegt, sowie bei Vorfällen die Angabe, ob rechtswidrige oder böswillige Handlungen vermutet werden. Eine abgeschlossene technische Analyse wird auf dieser Stufe nicht verlangt.
¶Was noch nicht bekannt ist
- Die öffentliche Adresse der einheitlichen Meldeplattform war zum Rechtsstand nicht veröffentlicht. Die ENISA kündigt die Bekanntgabe vor dem Betriebsstart an.
- Ob und wann ein Durchführungsrechtsakt nach Art. 14 Abs. 10 CRA zu Format und Verfahren der Meldung ergeht, ist nicht angekündigt.
- Eine deutsche Sprachfassung der Leitlinien liegt nicht vor. Ob nach der Veröffentlichung der englischen Fassung noch sprachbezogene Förmlichkeiten ausstehen, ist amtlich nicht dokumentiert.
- Termin und Ergebnis der zweiten und dritten Lesung des deutschen Durchführungsgesetzes stehen aus.
- Die Liste der als Koordinatoren benannten CSIRTs will die ENISA zu einem späteren Zeitpunkt bereitstellen.
- Ob die beiden horizontalen Kernnormen aus dem Normungsauftrag M/606 zum genannten Zieldatum vorliegen, ist offen.
- Der Verhandlungsstand des datenbezogenen Teils des Digitalomnibus-Pakets war zum Rechtsstand nicht abgeschlossen.
¶Begriffe
- Aktiv ausgenutzte Schwachstelle
- Schwachstelle, zu der verlässliche Nachweise für eine Ausnutzung durch einen böswilligen Akteur in einem System ohne Zustimmung des Systemeigners vorliegen. Art. 3 Nr. 42 CRA.
- CSIRT als Koordinator
- Von einem Mitgliedstaat benanntes Computer-Notfallteam, das Meldungen nach Art. 14 CRA entgegennimmt. In Deutschland beim BSI angesiedelt. Art. 14 Abs. 7 CRA.
- Hersteller
- Wer Produkte mit digitalen Elementen entwickelt, herstellt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet. Art. 3 Nr. 13 CRA.
- Produkt mit digitalen Elementen
- Software- oder Hardwareprodukt samt Datenfernverarbeitungslösungen, einschließlich getrennt in Verkehr gebrachter Komponenten. Art. 3 Nr. 1 CRA.
- Einheitliche Meldeplattform
- Von der ENISA errichtete Plattform, über die Meldungen an CSIRT und ENISA eingereicht werden. Art. 16 CRA.
- Schwerwiegender Sicherheitsvorfall
- Vorfall, der sich negativ auf die Schutzfähigkeit des Produkts auswirkt oder auswirken kann oder zu Schadcode geführt hat oder führen kann. Art. 14 Abs. 5 CRA.
- Verwalter quelloffener Software
- Juristische Person, die die Entwicklung kommerziell bestimmter quelloffener Produkte systematisch unterstützt. Tätigkeitsbezogene Meldepflicht. Art. 3 Nr. 14, Art. 24 Abs. 3 CRA.
¶Quellen
- Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung), ABl. L, 2024/2847 vom 20.11.2024, EUR-Lex, abgerufen am 4.8.2026. Geändert durch Art. 104 der Verordnung (EU) 2025/327 in Art. 13 Abs. 4, Art. 31 Abs. 3 und Art. 32. Art. 14 ist davon nicht betroffen.
- Berichtigung der Verordnung (EU) 2024/2847, ABl. L, 2025/90555 vom 2.7.2025, betreffend unter anderem Art. 64 Abs. 10 sowie die deutsche Sprachfassung, EUR-Lex, abgerufen am 4.8.2026. Eine weitere Berichtigung unter ABl. L, 2025/90828 vom 17.10.2025 betrifft allein eine Fußnotennummer in Art. 67.
- Delegierte Verordnung (EU) 2026/881 der Kommission vom 11. Dezember 2025 zur Ergänzung der Verordnung (EU) 2024/2847 hinsichtlich der Modalitäten und Bedingungen für die Verzögerung der Verbreitung von Meldungen, ABl. L, 2026/881 vom 20.4.2026, EUR-Lex, abgerufen am 4.8.2026. Berichtigt durch ABl. L, 2026/90449 vom 9.6.2026.
- Durchführungsverordnung (EU) 2025/2392 der Kommission vom 28. November 2025 über die technische Beschreibung der Kategorien wichtiger und kritischer Produkte mit digitalen Elementen, EUR-Lex, abgerufen am 4.8.2026.
- Verordnung (EU) 2026/1744 (Digitalomnibus zur künstlichen Intelligenz), ABl. L, 2026/1744 vom 24.7.2026, EUR-Lex, abgerufen am 4.8.2026. Die Verordnung ändert die Verordnungen (EU) 2024/1689, 2018/1139 und 2023/1230 und lässt die Cyberresilienz-Verordnung unberührt.
- Europäische Kommission, Leitlinien zur Anwendung der Verordnung (EU) 2024/2847, C(2026) 5252 final vom 27.7.2026, Anhang, Abschnitt 9.1, Rn. 209 bis 221, digital-strategy.ec.europa.eu, abgerufen am 4.8.2026.
- Europäische Kommission, Cyber Resilience Act – Reporting obligations, Stand 31.7.2026, digital-strategy.ec.europa.eu, abgerufen am 4.8.2026.
- ENISA, Single Reporting Platform (SRP), Verfahrensbeschreibung und häufige Fragen, Stand 31.7.2026, enisa.europa.eu, abgerufen am 4.8.2026.
- Bundesamt für Sicherheit in der Informationstechnik, Cyber Resilience Act, bsi.bund.de, abgerufen am 4.8.2026.
- Deutscher Bundestag, Drucksache 21/6134 vom 26.5.2026, Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847, dort Art. 1 Nr. 5 bis 10 und Art. 4, dserver.bundestag.de, abgerufen am 4.8.2026.
- Deutscher Bundestag, Umsetzung der EU-Cyberresilienz-Verordnung erörtert, Textarchiv zur ersten Lesung vom 11.6.2026, bundestag.de, abgerufen am 4.8.2026.
- Die Bundesregierung, Stärkung der Cybersicherheit mit Cyberresilienz in Europa, Kabinettbeschluss vom 29.4.2026, bundesregierung.de, abgerufen am 4.8.2026.
- cyberresilienceact.eu, European Commission guidance on the CRA, fachöffentliche Auswertung der Leitlinien und des Normungsauftrags M/606, cyberresilienceact.eu, abgerufen am 4.8.2026.
- Hogan Lovells, EU Cyber Resilience Act: Preparing for Vulnerability and Incident Reporting, fachöffentliche Auswertung zu Art. 69 Abs. 3 CRA, hoganlovells.com, abgerufen am 4.8.2026.
Zur Quellenlage
Maßgeblich ist die im Amtsblatt veröffentlichte deutsche Sprachfassung der Verordnung in der Fassung der Berichtigungen.
Die Leitlinien der Kommission nach Art. 26 CRA sind ausdrücklich unverbindlich und ändern die Rechtslage nicht. Letztverbindlich legt allein der Gerichtshof der Europäischen Union die Verordnung aus. Marktüberwachungsbehörden und notifizierte Stellen orientieren sich an den Leitlinien. Die Angaben zur Kenntnisschwelle, zu Altfällen, zu Fremdkomponenten und zur Nutzerinformation geben den Abschnitt 9.1 des Anhangs wieder, Rn. 209 bis 221.
Die Verfahrensbeschreibung der ENISA und die Leitlinien der Kommission sind unverbindliche Verwaltungs- und Umsetzungshinweise, keine Rechtsquelle. Ihr Stand ist der 31. Juli 2026, ebenso wie der der Kommissionsseite zu den Meldepflichten.[7] Beide Seiten werden laufend fortgeschrieben.
Rechtsprechung zu Art. 14 CRA existiert nicht, weder im Eil- noch im Hauptsacheverfahren. Zum erwarteten Meldeaufkommen liegt keine amtliche Erhebung vor.
Eigene Bewertungen sind im Text durch ein Zeichen gekennzeichnet. Das betrifft insbesondere die frühe Anwendbarkeit des Art. 15 CRA, die lauterkeitsrechtliche Einordnung des Art. 14 Abs. 8 CRA, den Rechtsweg gegen Maßnahmen unterhalb der Geldbuße und sämtliche Szenarien. Der Regierungsentwurf ist noch nicht verkündet, sodass seine Vorschriften Entwurfsstand wiedergeben. Der Umsetzungsabschnitt enthält Empfehlungen und keine Wiedergabe des Normtextes. Auf eine Einschätzung, welche Aufsichtsbehörde als streng oder zurückhaltend gilt, wurde bewusst verzichtet.
Weiterlesen
- CRA-Check: Betroffenheit von Produkten mit digitalen Elementen
- NIS2-Betroffenheitsprüfung und BSI-Registrierung
- Cybersecurity: Sicherheitsorganisation und Lieferkette
- IT-Compliance: Rollenmodelle und Auditfähigkeit
- Hub IT-Recht und Digitalisierung
Zitiervorschlag: Bohne, Jean Paul: CRA-Meldepflichten ab 11. September 2026 – Art. 14 Cyberresilienz-Verordnung in der Praxis, ITMR Rechtsanwälte PartGmbB, 4. August 2026, itmr-legal.de/blog/cra-meldepflicht-art-14.
Änderungsprotokoll
- 5. August 2026 · Korrektur und ErgänzungKorrigiert: Der Einleitungssatz zum zweiten Meldeauslöser verlangte eine bereits eingetretene Beeinträchtigung der Produktsicherheit. Art. 14 Abs. 5 CRA lässt die konkrete Eignung genügen. Ergänzt: Auswertung des Regierungsentwurfs zum Durchführungsgesetz mit den §§ 65 bis 70 BSIG-E und der gestaffelten Inkrafttretensregelung.
- 5. August 2026 · ErgänzungAuswertung des Abschnitts 9.1 der Kommissionsleitlinien: Kenntnisschwelle, Altfallregel, Behandlung von Schwachstellen in Fremdkomponenten, Fortgeltung der Meldepflicht nach Ende des Unterstützungszeitraums, zweistufige Offenlegung gegenüber Nutzern.
- 4. August 2026 · ErstveröffentlichungRechtsstand 4. August 2026.
Eine Aktualisierung erfolgt unter derselben Adresse, sobald die ENISA die Adresse der Meldeplattform veröffentlicht, das deutsche Durchführungsgesetz verkündet wird, die Leitlinien der Kommission in deutscher Sprachfassung vorliegen oder ein Durchführungsrechtsakt nach Art. 14 Abs. 10 CRA ergeht.
Zum Verfasser
Jean Paul Bohne ist Rechtsanwalt und Partner der ITMR Rechtsanwälte PartGmbB in Düsseldorf. Er berät Hersteller, Softwareanbieter und Plattformbetreiber zu IT-Recht, Datenschutzrecht und produktbezogener Digitalregulierung, einschließlich der Cyberresilienz-Verordnung, der NIS-2-Umsetzung und der KI-Verordnung.
Meldewege vor dem 11. September 2026 belastbar aufsetzen
Typische Mandate zu diesem Thema: Bestimmung der Herstellerrolle und des zuständigen CSIRT bei verteilten Konzernstrukturen, Erstellung einer Verfahrensanweisung für die dreistufige Meldung, Prüfung von Eigenmarken- und White-Label-Beziehungen nach Art. 21 CRA, Abgrenzung der CRA-Meldung von den Pflichten nach NIS 2 und DSGVO sowie Gestaltung von Melde- und Freistellungsklauseln in Liefer- und Softwareverträgen.
Rechtsstand: . Dieser Beitrag gibt den Stand zum genannten Datum wieder.
Inhalt
- Die Antwort in drei Sätzen
- Ergebnisübersicht und Grenzen
- Worauf die Aussagen beruhen
- Jede Pflicht hat ihr eigenes Ereignis
- Drei Geltungsbeginne, nicht einer
- Zum Meldeaufkommen fehlt jede Zahl
- Vier Normen bilden das Meldesystem
- Die Meldepflicht endet beim Hersteller
- Die Pflicht gilt, der Bußgeldrahmen ruht
- Zwei Auslöser, zwei Fristanker
- Vier Regime, ein Vorfall
- Mit dem Abschlussbericht ist es nicht vorbei
- Was bis zum 11. September zu tun ist
- Das Übergangsrecht wirkt hier umgekehrt
- Neun Aussagen im Abgleich mit dem Text
- Der Druck kommt vom Kunden, nicht vom BSI
- Die Regelung überzeugt, die Vorbereitung nicht
- Ein Teil der Vorarbeit ist wiederverwendbar
- Häufige Fragen
- Was noch nicht bekannt ist
- Begriffe
- Quellen