Die Meldepflicht des Cyber Resilience Act erklärt

Wer muss melden?

Hersteller von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden. Die Pflicht gilt seit dem 11. September 2026 (Artikel 71 Absatz 2), und zwar auch für Produkte, die schon vorher im Markt waren (Artikel 69 Absatz 3). Importeure und Händler informieren den Hersteller, wenn sie von einer Schwachstelle erfahren (Artikel 19 und 20). Ob Ihr Produkt überhaupt unter die Verordnung fällt, klärt der Betroffenheitscheck.

Was löst die Meldepflicht aus?

Zwei Ereignisse (Artikel 14 Absatz 1 und 3):

• Eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt. Nicht jede gemeldete Lücke, sondern eine, für die es Hinweise gibt, dass sie bereits ausgenutzt wird.
• Ein schwerwiegender Sicherheitsvorfall, der die Sicherheit des Produkts beeinträchtigt, etwa wenn Ihre Update-Infrastruktur kompromittiert wird.

Der Haken: Ob eine Lücke aktiv ausgenutzt wird, wissen Sie erst, wenn jemand die Meldung gelesen und bewertet hat. Deshalb muss jede Meldung schnell angesehen werden, auch nachts und am Wochenende.

Wann beginnt die Frist?

Mit Kenntnis. Die Verordnung spricht von "unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat" (Artikel 14 Absatz 2 Buchstabe a). Was Kenntnis ist, sagt die Verordnung nicht; nach der Leitlinie der Kommission vom Juli 2026 liegt sie vor, wenn eine erste Bewertung mit hinreichender Gewissheit ergibt, dass die Schwachstelle aktiv ausgenutzt wird. Dieser Zeitpunkt sollte dokumentiert werden, er ist die Grundlage für alle drei Fristen.

Was wird gemeldet?

1. Frühwarnung, 24 StundenDass eine Schwachstelle aktiv ausgenutzt wird, und wenn bekannt, in welchen Mitgliedstaaten das Produkt im Einsatz ist. Mehr nicht. Die Frühwarnung soll schnell sein, nicht vollständig.
2. Schwachstellenmeldung, 72 StundenAllgemeine Angaben zum Produkt, Art der Schwachstelle und der Ausnutzung, ergriffene Korrektur- oder Risikominderungsmaßnahmen und Maßnahmen, die Nutzer ergreifen können, gegebenenfalls eine Angabe, wie sensibel die Informationen sind.
3. Abschlussbericht, 14 TageNach Verfügbarkeit einer Abhilfe: Beschreibung der Schwachstelle mit Schwere und Auswirkung, Angaben zu den Angreifern, soweit bekannt, und die Abhilfemaßnahme selbst.

Wohin wird gemeldet?

Über die Single Reporting Platform der ENISA (Artikel 16). Die Meldung geht an das CSIRT, das als Koordinator für den Mitgliedstaat Ihrer Hauptniederlassung benannt ist (Artikel 14 Absatz 7), in Deutschland das CERT-Bund beim BSI, und ist zugleich für die ENISA zugänglich. Die Plattform ist nach Angaben der ENISA derzeit ein Webformular ohne Schnittstelle; es braucht einen registrierten Zugang und eine Person, die ihn bedienen kann.

Was noch dazugehört

• Nutzer informieren (Artikel 14 Absatz 8): betroffene Nutzer rechtzeitig über die Schwachstelle und mögliche Gegenmaßnahmen unterrichten.
• Meldeadresse veröffentlichen (Anhang I Teil II Nummer 6, gilt ab dem 11. Dezember 2027): eine Kontaktadresse, über die Dritte Schwachstellen melden können; das BSI beschreibt dafür in TR-03183-3 eine security.txt, die der Generator erzeugt.
• Nachweis: Die Marktüberwachung kann verlangen, dass Sie die Einhaltung der Fristen belegen. Wer wann was wusste, gehört protokolliert.

Was bei Verstößen droht

Artikel 64 Absatz 2 sieht für Verstöße gegen Artikel 14 Geldbußen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor. Die Sanktionsvorschrift gilt nach Artikel 71 Absatz 2 erst ab dem 11. Dezember 2027; bis dahin läuft die Meldepflicht ohne Bußgeldbewehrung. Die Fristen gelten unabhängig davon, und der Nachweis der Einhaltung bleibt Sache des Herstellers. Mehr dazu im Leitfaden Bußgelder und Marktüberwachung.