Cyber Resilience Act: Meldepflichten gelten ab 11.09.2026

Der Cyber Resilience Act bringt neue Cybersicherheitspflichten für digitale Produkte. Die meisten Vorgaben gelten erst ab dem 11.12.2027. Die Meldepflichten starten jedoch schon deutlich früher.

Ab dem 11.09.2026 gilt Artikel 14 des Cyber Resilience Act. Hersteller müssen bestimmte Schwachstellen und Sicherheitsvorfälle innerhalb kurzer Fristen melden. Für die erste Meldung bleiben höchstens 24 Stunden.

Unternehmen sollten deshalb jetzt prüfen, welche ihrer Produkte betroffen sind. Das gilt etwa für Anbieter eigener Software oder vernetzter Geräte. Auch bereits in Verkehr gebrachte Produkte können unter die Meldepflichten fallen.

Welche Produkte erfasst der Cyber Resilience Act?

Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847. Er schafft einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen in der Europäischen Union.

Der Cyber Resilience Act erfasst grundsätzlich auf dem Markt bereitgestellte Produkte mit digitalen Elementen. Ihre vorgesehene oder vorhersehbare Verwendung muss eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz umfassen.

Dazu können Hardware und Software gehören. Auch einzeln in Verkehr gebrachte Software- oder Hardwarekomponenten können erfasst sein. Hinzukommen bestimmte Datenfernverarbeitungslösungen, die für eine Funktion des Produkts erforderlich sind.

Der Cyber Resilience Act enthält allerdings Ausnahmen für bestimmte Produktgruppen. Unternehmen müssen deshalb im Einzelfall prüfen, ob ihr Produkt tatsächlich in den Anwendungsbereich fällt.

Die meisten Vorschriften gelten ab dem 11.12.2027. Artikel 14 gilt dagegen bereits ab dem 11.09.2026.

Für wen gelten die Cyber Resilience Act Meldepflichten?

Artikel 14 richtet sich vor allem an Hersteller.

Hersteller ist nicht nur, wer ein Produkt selbst entwickelt oder herstellt. Erfasst ist auch, wer Produkte entwickeln oder herstellen lässt und unter eigenem Namen vermarktet. Das gilt unabhängig davon, ob das Unternehmen das Produkt verkauft, anderweitig monetarisiert oder kostenlos anbietet.

Damit können beispielsweise Unternehmen mit eigener Software oder digitalen Eigenmarken betroffen sein.

Auch Einführer und Händler können als Hersteller gelten. Das ist der Fall, wenn sie ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen. Dasselbe gilt, wenn sie ein bereits in Verkehr gebrachtes Produkt wesentlich ändern.

Auch andere Unternehmen können nach einer wesentlichen Änderung als Hersteller gelten. Voraussetzung ist, dass sie das geänderte Produkt anschließend auf dem Markt bereitstellen.

Die Herstellerpflichten gelten dann für den von der wesentlichen Änderung betroffenen Teil. Wirkt sich die Änderung auf die Cybersicherheit des gesamten Produkts aus, gelten sie für das gesamte Produkt.

Besondere Regeln gelten für Verwalter quelloffener Software. Der Cyber Resilience Act versteht darunter bestimmte juristische Personen, die nicht selbst Hersteller sind. Sie unterstützen die Entwicklung bestimmter Open-Source-Produkte für kommerzielle Tätigkeiten systematisch und nachhaltig und stellen deren Brauchbarkeit sicher.

Ihre Meldepflichten entsprechen nicht vollständig denen eines Herstellers. Artikel 24 Absatz 3 verweist nur unter bestimmten Voraussetzungen auf einzelne Pflichten aus Artikel 14. Deshalb muss bei Open-Source-Projekten genau geprüft werden, welche Pflichten gelten.

Welche Schwachstellen und Vorfälle müssen Hersteller melden?

Nicht jede Sicherheitslücke löst eine Meldung nach Artikel 14 aus.

Meldepflichtig ist eine aktiv ausgenutzte Schwachstelle. Dafür müssen verlässliche Nachweise vorliegen, dass ein böswilliger Akteur die Schwachstelle bereits ausgenutzt hat. Die Ausnutzung muss ohne Zustimmung des Systemeigentümers erfolgt sein.

Eine nur theoretisch ausnutzbare Schwachstelle genügt daher nicht.

Hersteller müssen außerdem schwerwiegende Sicherheitsvorfälle melden, die sich auf die Sicherheit eines Produkts mit digitalen Elementen auswirken.

Ein Sicherheitsvorfall gilt als schwerwiegend, wenn er den Schutz sensibler oder wichtiger Daten oder Funktionen beeinträchtigt oder beeinträchtigen kann. Maßgeblich sind Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit.

Er gilt ebenfalls als schwerwiegend, wenn er zur Einführung oder Ausführung böswilligen Codes geführt hat oder führen kann. Das kann das Produkt selbst oder die Netz- und Informationssysteme eines Nutzers betreffen.

Unternehmen müssen Sicherheitsmeldungen deshalb schnell bewerten können. Nicht jeder Fehler und nicht jede Schwachstelle fällt unter Artikel 14.

Cyber Resilience Act Meldepflichten: Diese Fristen gelten

Die Meldefristen sind kurz.

Hersteller müssen unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntnis eine Frühwarnung abgeben. Das gilt für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.

Spätestens innerhalb von 72 Stunden nach Kenntnis folgt eine ausführlichere Meldung. Sie enthält die bis dahin verfügbaren Informationen und eine erste Bewertung. Ergriffene Korrektur- oder Risikominderungsmaßnahmen gehören ebenfalls dazu.

Danach verlangt der Cyber Resilience Act einen Abschlussbericht.

Bei aktiv ausgenutzten Schwachstellen ist dieser spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme einzureichen.
Bei schwerwiegenden Sicherheitsvorfällen gilt eine Frist von einem Monat nach Übermittlung der vorausgehenden Vorfallsmeldung.

Entscheidend ist jeweils, wann der Hersteller Kenntnis erlangt. Unternehmen brauchen deshalb interne Wege, über die Sicherheitsinformationen schnell die zuständigen Personen erreichen.

Für Kleinst- und Kleinunternehmen enthält der Cyber Resilience Act eine begrenzte Ausnahme bei Geldbußen. Sie dürfen wegen einer Überschreitung der jeweiligen 24-Stunden-Frist nicht mit den administrativen Geldbußen nach Artikel 64 belegt werden.

Die Meldepflicht und die 24-Stunden-Frist bleiben trotzdem bestehen. Die Ausnahme gilt nicht pauschal für die weiteren Meldefristen.

Wo müssen Unternehmen ihre Meldung abgeben?

Die Meldungen erfolgen über die Single Reporting Platform, kurz SRP.

ENISA richtet diese zentrale europäische Plattform ein und betreibt sie. Hersteller geben ihre Meldung nur einmal über die Plattform ab.

Die Meldung geht über den elektronischen Endpunkt des zuständigen Computer Security Incident Response Teams, kurz CSIRT, ein. Sie wird nach den Vorgaben des Cyber Resilience Act über die Plattform weitergeleitet und grundsätzlich auch ENISA zugänglich gemacht.

Unter außergewöhnlichen Umständen kann die weitere Verbreitung einer Meldung aus Gründen der Cybersicherheit vorübergehend verzögert werden. Dafür enthält Artikel 16 besondere Voraussetzungen.

Welches CSIRT zuständig ist, richtet sich grundsätzlich nach der Hauptniederlassung des Herstellers in der EU. Maßgeblich ist insbesondere der Mitgliedstaat, in dem überwiegend über die Cybersicherheit der Produkte entschieden wird.

Hat der Hersteller keine Hauptniederlassung in der EU, legt Artikel 14 Absatz 7 weitere Kriterien fest.

Stand 02.09.2026 soll die Single Reporting Platform am 11.09.2026 betriebsbereit sein. ENISA hat seine FAQ zur Plattform zuletzt am 31.08.2026 aktualisiert.
Unternehmen können sich bereits mit dem Meldeverfahren vertraut machen und die organisatorischen Voraussetzungen schaffen. Insbesondere kann das für den Zugang erforderliche persönliche EU-Login bereits eingerichtet werden. ENISA stellt hierzu aktuelle FAQ und Leitfäden bereit.

Auch Nutzer müssen informiert werden

Artikel 14 verpflichtet Hersteller nicht nur zur Meldung über die Single Reporting Platform.

Erfährt ein Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall, muss er die betroffenen Nutzer informieren. Gegebenenfalls muss er auch alle Nutzer des Produkts unterrichten.

Falls erforderlich, muss der Hersteller außerdem erklären, welche Maßnahmen Nutzer ergreifen können. Dazu gehören geeignete Korrektur- oder Risikominderungsmaßnahmen.

Eine feste Frist von 24 oder 72 Stunden nennt Artikel 14 Absatz 8 hierfür nicht. Aus der Regelung ergibt sich aber, dass die Nutzer rechtzeitig informiert werden müssen.

Versäumt der Hersteller eine rechtzeitige Information, können die zuständigen CSIRTs unter bestimmten Voraussetzungen selbst informieren.

Unternehmen sollten daher neben der Behördenmeldung auch ihre Kommunikation mit den Nutzern vorbereiten.

Meldepflichten gelten auch für bereits in Verkehr gebrachte Produkte

Der frühe Start der Meldepflichten betrifft nicht nur neue Produkte.

Artikel 69 Absatz 3 stellt klar: Die Pflichten aus Artikel 14 gelten auch für Produkte mit digitalen Elementen, die bereits vor dem 11.12.2027 in Verkehr gebracht wurden. Voraussetzung ist, dass das Produkt in den Anwendungsbereich des Cyber Resilience Act fällt.

Hersteller sollten ihre Meldeprozesse deshalb nicht nur auf neue Produkte ausrichten. Auch bereits auf dem Markt befindliche Software oder Hardware kann betroffen sein.

Die Meldepflicht selbst beginnt jedoch erst am 11.09.2026.

Nach der aktuellen ENISA-FAQ müssen Hersteller eine aktiv ausgenutzte Schwachstelle nicht nachträglich melden, wenn ihnen die aktive Ausnutzung bereits vor diesem Datum bekannt war.

Aus Artikel 69 Absatz 3 folgt zugleich nicht, dass sämtliche übrigen Cyber Resilience Act-Pflichten schon für ältere Produkte gelten. Für diese Anforderungen enthält Artikel 69 eigene Übergangsregeln.

Was Unternehmen jetzt tun sollten

Unternehmen sollten zunächst ihr Produktportfolio prüfen. Dabei ist zu klären, welche Produkte in den Anwendungsbereich des Cyber Resilience Act fallen. Ebenso wichtig ist die Frage, ob das Unternehmen rechtlich als Hersteller gilt.

Danach sollten Unternehmen klare interne Meldewege schaffen. Informationen aus Entwicklung, IT-Sicherheit und Support müssen schnell die zuständigen Ansprechpartner erreichen. Dasselbe gilt für Hinweise externer Sicherheitsforscher.

Auch die fachliche Bewertung sollte vorbereitet sein. Unternehmen müssen erkennen können, wann eine Schwachstelle aktiv ausgenutzt wird. Ebenso müssen sie schwerwiegende Sicherheitsvorfälle von anderen Ereignissen unterscheiden.

Der interne Ablauf sollte folgende Schritte berücksichtigen:

• Frühwarnung innerhalb von 24 Stunden,
• ausführlichere Meldung innerhalb von 72 Stunden,
• Abschlussbericht innerhalb der jeweiligen Frist,
• gegebenenfalls rechtzeitige Information der Nutzer.

Auch bereits in Verkehr gebrachte Produkte sollten Unternehmen in diese Prozesse einbeziehen.

Da die Single Reporting Platform erst zum 11.09.2026 betriebsbereit sein soll, sollten Unternehmen die Informationen von ENISA unmittelbar vor Beginn der Meldepflichten noch einmal prüfen.

Weitere Informationen

Verordnung (EU) 2024/2847 – Cyber Resilience Act, konsolidierte Fassung: https://eur-lex.europa.eu/eli/reg/2024/2847/2024-11-20/deu
EU-Kommission – Meldepflichten nach dem Cyber Resilience Act: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
EU-Kommission – Leitlinien zum Cyber Resilience Act vom 27.07.2026: https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
ENISA – Single Reporting Platform und FAQ, zuletzt aktualisiert am 31.08.2026: https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions