Verordnung (EU) 2024/2847 · Artikel 14

CRA Artikel 14: Was Sie melden müssen, und bis wann

Seit dem 11. September 2026 hat ein Hersteller, der Kenntnis von einer aktiv ausgenutzten Schwachstelle in seinem Produkt oder von einem schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf dessen Sicherheit erlangt, 24 Stunden bis zur Frühwarnung, 72 Stunden bis zur Meldung, und ein Abschlussbericht folgt. Diese Seite stellt die Pflicht so dar, wie die Verordnung, die Leitlinien der Kommission und die Plattform der ENISA sie formulieren, mit der Fundstelle zu jedem Punkt.

Rechtsakt
Verordnung (EU) 2024/2847 (Cyber Resilience Act), Artikel 14
Gilt seit
11. September 2026 (Art. 71 Abs. 2)
Leitlinien
Leitlinien der Kommission C(2026) 5252 zu den Meldepflichten
Wo einreichen
ENISA Single Reporting Platform · portal.cra-srp.enisa.europa.eu
Zuletzt geprüft
2026-10-21 · Regulatorische Änderungen

Wer melden muss

Artikel 14 richtet sich an Hersteller und erfasst zwei Ereignisse: eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt (Art. 14 Abs. 1) und einen schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf dessen Sicherheit (Art. 14 Abs. 3).

Drei Fragen. Lautet die Antwort dreimal ja, gilt Artikel 14 für Sie.

  • ✓Sie bringen Hardware oder Software mit digitalen Elementen unter Ihrem eigenen Namen oder Ihrer Marke auf dem EU-Markt in Verkehr.
  • ✓Es fällt nicht bereits unter sektorspezifische Vorschriften, die den CRA verdrängen, etwa Medizinprodukte, zivile Luftfahrt oder typgenehmigte Fahrzeuge.
  • ✓Sie unterstützen es auch nach dem 11. September 2026. Produkte, die Sie vor Jahren verkauft haben, zählen ebenfalls (Art. 69(3)).

Artikel 69 Abs. 3: Die Meldepflichten gelten auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden; ein Produkt, das Sie noch unterstützen, fällt also in den Anwendungsbereich, egal wie alt es ist. Eine Niederlassung außerhalb der EU hebt die Pflicht nicht auf; sie ändert nur, welches koordinierende CSIRT die Meldung erhält.

Die drei Fristen

StufeAktiv ausgenutzte Schwachstelle (Art. 14 Abs. 2)Schwerwiegender Sicherheitsvorfall (Art. 14 Abs. 4)
Frühwarnung24 Stunden ab Kenntnis · Art. 14(2)(a)24 Stunden ab Kenntnis · Art. 14(4)(a)
Meldung72 Stunden ab Kenntnis · Art. 14(2)(b)72 Stunden ab Kenntnis · Art. 14(4)(b)
Abschlussbericht14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme · Art. 14(2)(c)Ein Monat nach der 72-Stunden-Meldung · Art. 14(4)(c)
  • Frühwarnung. Art. 14(2)(a) und 14(4)(a). Nennt, dass der Vorfall eingetreten ist, in welchen Mitgliedstaaten das Produkt verfügbar ist und ob rechtswidrige oder böswillige Handlungen vermutet werden.
  • Meldung. Art. 14(2)(b) und 14(4)(b). Die Art der Ausnutzung oder des Vorfalls, die von Ihnen ergriffenen Maßnahmen, die Maßnahmen, die Ihre Nutzer ergreifen können, und eine Bewertung der Sensibilität.
  • Abschlussbericht. Art. 14(2)(c): innerhalb von 14 Tagen, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist. Bei schwerwiegenden Sicherheitsvorfällen: innerhalb eines Monats nach der 72-Stunden-Meldung.

Geht an: das in Ihrem Mitgliedstaat als Koordinator benannte CSIRT und die ENISA.

Kenntnis, nicht CVE-Veröffentlichung

Alle drei Fristen hängen an einem einzigen Zeitpunkt: dem der Kenntniserlangung. Nicht die Erkennung, nicht der Tag der CVE-Veröffentlichung, nicht der Tag, an dem die Korrektur ausgeliefert wurde.

Leitlinien der Kommission C(2026) 5252 §213: Sie erlangen Kenntnis, wenn Sie nach einer ersten Bewertung mit hinreichender Gewissheit davon ausgehen, dass die Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Sicherheitsvorfall eingetreten ist. §214 verlangt, dass diese Bewertung zügig erfolgt.

Ein Eintrag in CISA KEV oder in der Liste ausgenutzter Schwachstellen der ENISA EUVD ist in der Regel der Anfang dieser Bewertung, nicht ihr Ende, denn Sie müssen weiterhin bestätigen, dass der verwundbare Code in Ihrem Produkt vorhanden und erreichbar ist.

Der 72-Stunden-Zähler des Portals und die gesetzliche Frist

ENISA-FAQ Q26: Der 72-Stunden-Zähler der Plattform zeigt eine Fälligkeit 48 Stunden nach Einreichung der Frühwarnung an. Reichen Sie die Frühwarnung zügig ein, markiert das Portal Sie als überfällig, bevor die gesetzlichen 72 Stunden abgelaufen sind. Seit dem 21. Oktober 2026 hat das Schwachstellenformular ein Pflichtfeld für den Zeitpunkt der Kenntniserlangung (Glossar v1.6), und die ENISA hat angekündigt, dass eine spätere Version ab Kenntnis zählen wird.

Erlangen Sie am Montag um 09:00 Uhr Kenntnis und reichen die Frühwarnung am Montag um 17:00 Uhr ein: Das Portal markiert die Meldung ab Mittwoch 17:00 Uhr als überfällig, während Art. 14 Abs. 2 Buchst. b Ihnen bis Donnerstag 09:00 Uhr Zeit lässt.

Arbeiten Sie nach der gesetzlichen Frist und behandeln Sie den Zähler des Portals als Erinnerung; nennen Sie den Zeitpunkt der Kenntniserlangung in Worten in Ihrer Zusammenfassung und führen Sie darüber Ihren eigenen datierten Nachweis. Fristen-Check: Geben Sie Ihre beiden Zeitpunkte ein und sehen Sie beide Fälligkeiten.

Einreichung auf der Single Reporting Platform ohne API

"No Application Programming Interface (API) will be provided at the initial release of the SRP, so notifications must be submitted through the platform interface." — Zu Deutsch: Bei der Erstveröffentlichung der SRP wird keine Programmierschnittstelle (API) bereitgestellt; Meldungen müssen über die Oberfläche der Plattform eingereicht werden.

ENISA, FAQ zur Single Reporting Platform

In der Praxis meldet sich Ihr Assigned Representative mit EU Login und Multi-Faktor-Authentifizierung an und füllt das Formular aus. Jeder Hersteller registriert einen Primary Assigned Representative und bis zu 20 Secondary Assigned Representatives. Sie können bis zu 20 Meldungen einreichen, bevor Ihr Assigned Representative validiert ist; die Registrierung heute hält also nichts auf.

Eine E-Mail an ein CSIRT ist eine Rückfalllösung für den Ausfall der Plattform, keine förmliche Meldung (NCSC Irland, nationale CRA-Leitlinien, August 2026). Jedes Feld, das die Plattform abfragt, mit Zeichengrenze und Status in jeder Stufe, steht in der SRP-Feldreferenz.

Unterrichtung Ihrer Nutzer

Art. 14 Abs. 8: Nach Kenntniserlangung unterrichten Sie, soweit angemessen, die betroffenen Nutzer unverzüglich über die Schwachstelle oder den Sicherheitsvorfall und, soweit erforderlich, über risikomindernde und Korrekturmaßnahmen, die sie ergreifen können. Dies läuft neben den Meldungen und wartet nicht auf die 72-Stunden-Meldung.

Leitlinien der Kommission C(2026) 5252 §§219–221: Was Sie den Nutzern mitteilen und wie, ist risikobasiert und verhältnismäßig. Ein CSAF-2.0-Advisory plus ein für Menschen lesbarer Hinweis ist die übliche Form; die Verordnung schreibt weder das eine noch das andere vor und setzt keine feste Stunde.

Geldbußen und die Ausnahme für kleine Unternehmen

Art. 64(2) ordnet die Pflichten aus Artikel 13 und 14 einschließlich der Meldepflichten der Stufe bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes zu. 10 Mio. € oder 2 % (Art. 64(3)) gelten für die übrigen Pflichten der Wirtschaftsakteure. Kleinst- und Kleinunternehmen sind von Bußgeldern für eine versäumte 24-Stunden-Frühwarnung ausgenommen (Art. 64(10)); die Pflicht selbst bleibt bestehen.

Was Sie schon vor dem 11. September wussten

Ausnutzungen, von denen Sie bereits vor dem 11. September Kenntnis hatten, müssen nicht rückwirkend gemeldet werden (Leitlinien der Kommission C(2026) 5252 §217). Alles, wovon Sie ab jetzt erfahren, schon.

Die Trennlinie ist die Kenntnis von der Ausnutzung, nicht das Alter der Schwachstelle: Wer nach dem 11. September 2026 erfährt, dass eine lange bekannte Schwachstelle nun aktiv ausgenutzt wird, erlangt neue Kenntnis.

Amtliche Quellen

Diese Seite ist keine Rechtsberatung. Sie folgt der Verordnung und den Leitlinien der Kommission und nennt für jede Regel die Quelle; das datierte Verzeichnis der Änderungen ist die Seite Regulatorische Änderungen. Ihre Meldungen bleiben Ihre rechtsverbindlichen Erklärungen und sollten geprüft werden.