Kurzdefinition: Artikel 14 CRA verpflichtet Hersteller, jede in ihrem Produkt aktiv ausgenutzte Schwachstelle zu melden — gleichzeitig an das als Koordinator benannte CSIRT und an die Cybersicherheitsagentur der Union (ENISA), über eine einheitliche Meldeplattform. Die Meldung erfolgt gestuft: eine Frühwarnung binnen 24 Stunden, eine ausführlichere Meldung binnen 72 Stunden und ein Abschlussbericht binnen 14 Tagen. Diese Pflicht gilt ab dem 11. September 2026. [N-CRA-14]
Der Normwortlaut
Art. 14 Abs. 1 CRA bestimmt: „Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“ Er meldet sie „über die gemäß Artikel 16 eingerichtete einheitliche Meldeplattform“. [N-CRA-14]
Was ist eine aktiv ausgenutzte Schwachstelle?
Eine nachweislich ausgenutzte Schwachstelle. Nach dem CRA ist eine aktiv ausgenutzte Schwachstelle eine Schwachstelle, „zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“. Bloße Schwachstellen ohne nachgewiesene Ausnutzung lösen die Meldepflicht des Art. 14 CRA nicht aus. [N-CRA-3] [N-CRA-14]
An wen ist zu melden?
An CSIRT und ENISA zugleich. Nach Art. 14 Abs. 1 CRA meldet der Hersteller gleichzeitig dem als Koordinator benannten CSIRT und der ENISA, und zwar über die einheitliche Meldeplattform nach Artikel 16 CRA. Die Meldung geht damit nicht nur an eine nationale Stelle. [N-CRA-14]
Welche Fristen gelten?
Drei Stufen. Nach Art. 14 Abs. 2 CRA sind vorzulegen: eine Frühwarnung „innerhalb von 24 Stunden“, nachdem der Hersteller Kenntnis erlangt hat; eine ausführlichere Meldung „innerhalb von 72 Stunden“ mit Informationen zum Produkt, zur Art der Ausnutzung und zu Gegenmaßnahmen; sowie ein Abschlussbericht „spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht“. [N-CRA-14]
Gilt die Meldepflicht auch für Sicherheitsvorfälle?
Ja, parallel. Art. 14 CRA erfasst neben aktiv ausgenutzten Schwachstellen auch schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken — ebenfalls mit einer Frühwarnung binnen 24 Stunden, einer Meldung binnen 72 Stunden und einem Abschlussbericht. [N-CRA-14]
Seit wann gilt die Meldepflicht?
Seit dem 11. September 2026. Während der CRA im Übrigen grundsätzlich erst ab dem 11. Dezember 2027 gilt, sind die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bereits vorgezogen. [N-CRA-14] [N-CRA-1]
Häufige Fehlannahmen
- „Jede Schwachstelle ist zu melden.“ Nein. Art. 14 CRA knüpft die Pflichtmeldung an aktiv ausgenutzte Schwachstellen. [N-CRA-14]
- „Es genügt eine Meldung an die nationale Behörde.“ Nein. Zu melden ist gleichzeitig an das Koordinator-CSIRT und die ENISA. [N-CRA-14]
- „Eine einzige Meldung reicht.“ Nein. Vorgesehen sind Frühwarnung, Meldung und Abschlussbericht. [N-CRA-14]
- „Die 24-Stunden-Frist ist unverbindlich.“ Nein. Die Frühwarnung ist innerhalb von 24 Stunden ab Kenntnis vorzulegen. [N-CRA-14]
- „Die Meldepflicht gilt erst ab Ende 2027.“ Nein. Sie gilt ab dem 11. September 2026. [N-CRA-14]
- „Nur Schwachstellen, keine Vorfälle, sind erfasst.“ Nein. Auch schwerwiegende Sicherheitsvorfälle sind nach Art. 14 CRA zu melden. [N-CRA-14]
Was die Geschäftsleitung tun sollte
- Meldeprozess aufsetzen. Die 24/72-Stunden- und 14-Tage-Fristen in die Schwachstellen- und Incident-Prozesse einbauen.
- Zugänge einrichten. Die einheitliche Meldeplattform und das zuständige Koordinator-CSIRT vorab klären.
- Ausnutzung erkennen. Prozesse zur Feststellung, ob eine Schwachstelle aktiv ausgenutzt wird, etablieren.
- Frühzeitig starten. Die ab September 2026 geltende Meldepflicht rechtzeitig umsetzen.
Für die Geschäftsleitung
Die CRA-Meldepflicht ist eng getaktet und geht an zwei Stellen zugleich — CSIRT und ENISA. Für die Leitung zählt die Vorbereitung: Wer den Prozess mit klaren Fristen und Zuständigkeiten aufsetzt, verliert im Ernstfall keine der knappen 24 Stunden. Und weil die Pflicht ab dem 11. September 2026 gilt, gehört ihre Vorbereitung nicht aufgeschoben.
Quellen
- [N-CRA-14] Art. 14 CRA (VO (EU) 2024/2847, Meldepflichten der Hersteller), Abs. 1 und 2. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
- [N-CRA-3] Art. 3 CRA (Begriffsbestimmungen, aktiv ausgenutzte Schwachstelle). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
- [N-CRA-1] Art. 1 CRA (Gegenstand; Geltungsbeginn). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
