An wen genau melden wir?

An das als Koordinator benannte CSIRT eures Mitgliedstaats und an die ENISA, über die dafür eingerichtete zentrale Meldeplattform. Die Meldewege werden von den Behörden konkretisiert – abonniert dazu die Veröffentlichungen des BSI. Wichtiger als der Kanal ist, dass ihr intern binnen Stunden meldefähig seid; das Absenden selbst ist der kleinste Teil.

Gilt das auch für Produkte, die wir vor 2026 verkauft haben?

Die Meldepflicht knüpft an Schwachstellen und Vorfälle in euren Produkten an – auch solchen, die bereits im Markt sind. Genau deshalb ist der 11.09.2026 die relevantere Nahfrist als der Dezember 2027: Sie betrifft euer heutiges Portfolio.

Gilt die Meldepflicht auch für Apps ohne Hardware?

Ja. Eine kommerziell angebotene App ist selbst ein Produkt mit digitalen Elementen – wird eine Schwachstelle darin aktiv ausgenutzt, greift dieselbe Meldekette. Der Unterschied ist nur technisch: Statt Firmware-Kanal und Geräteflotte geht es um App-Versionen im Feld und euer Backend. Details zur Abgrenzung stehen im CRA-Leitfaden.

Was, wenn wir eine Schwachstelle finden, die nicht aktiv ausgenutzt wird?

Dann greift nicht die 24-h-Meldung, wohl aber eure Pflicht zum Schwachstellenmanagement: bewerten, beheben, Sicherheitsupdate bereitstellen und die Behebung dokumentieren. Ein Fund ohne Ausnutzung ist der Normalfall – und der Grund, warum kontinuierliche Wartung die eigentliche Compliance-Leistung ist.

Was passiert, wenn wir die Frist verpassen?

Verstöße gegen die Meldepflichten können Bußgelder und Maßnahmen der Marktüberwachung nach sich ziehen – und im Ernstfall wiegt der Reputationsschaden einer verspäteten Meldung oft schwerer als die Strafe. Der belastbarste Schutz ist keine juristische Strategie, sondern Meldefähigkeit: erkennen, bewerten, melden können, bevor die Uhr abläuft.

Können wir die Meldung an euch oder eine andere Agentur auslagern?

Die Verantwortung für die Meldung bleibt bei euch als Hersteller – delegieren könnt ihr die Zuarbeit: Erkennung, Impact-Analyse, technische Beschreibung, Patch. Genau das übernehmen wir im Rahmen eines Wartungsvertrags. Wer die Meldung formal absendet und wie euer interner Prozess aussieht, gehört dagegen in euer Playbook und ggf. zu eurer Rechtsberatung.

Startseite

Cyber Resilience Act

Meldepflichten

CRA-Meldepflichten ab 11.09.2026: 24 Stunden für die Erstmeldung

Noch bevor der CRA vollständig gilt, greifen seine Meldepflichten – für euer heutiges Produktportfolio, nicht erst für neue Produkte.

Ab dem 11. September 2026 müsst ihr aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in eurem Produkt melden – binnen 24 Stunden nach Kenntnis, an das zuständige CSIRT und die ENISA. Hier stehen die Fristen, der Ablauf und die technische Vorbereitung, ohne die kein Meldeprozess funktioniert: Erkennung, Feld-Telemetrie, Benachrichtigung.

Was ihr dafür braucht

Google Rating

5.0

Alle Rezensionen ansehen

Die Meldefristen nach Artikel 14 CRA im Überblick

Die CRA-Meldepflicht ist dreistufig aufgebaut – und die Uhr startet nicht mit eurer Entscheidung, sondern mit eurer Kenntnis: erst die schlanke Frühwarnung, dann die detaillierte Folgemeldung, zum Schluss der Abschlussbericht.

Frühwarnung

24 Stunden

Nach Kenntnis: Erstmeldung an das zuständige CSIRT und die ENISA über die zentrale Meldeplattform.

Folgemeldung

72 Stunden

Detaillierte Meldung: Art der Schwachstelle bzw. des Vorfalls, Bewertung und ergriffene Gegenmaßnahmen.

Abschlussbericht

14 Tage / 1 Monat

14 Tage nach Verfügbarkeit einer Behebung (Schwachstelle) bzw. 1 Monat nach der Folgemeldung (Vorfall).

Ob ihr diese Fristen halten könnt, entscheidet sich nicht am Meldeformular, sondern an eurer Vorbereitung: Was ihr organisatorisch und technisch braucht →

Was nach dem CRA gemeldet werden muss

Aktiv ausgenutzte Schwachstellen

Nicht jede theoretische Lücke, sondern Schwachstellen mit Hinweisen auf tatsächliche Ausnutzung.

Beispiel

Ein Sicherheitsforscher zeigt euch, dass über euren Firmware-Update-Kanal manipulierte Firmware auf Geräte im Feld gespielt wird – oder dass sich über eine Lücke im Login eurer App fremde Nutzerkonten übernehmen lassen.

Schwerwiegende Sicherheitsvorfälle

Vorfälle mit Auswirkung auf die Sicherheit eures Produkts.

Beispiel

Euer Update-Server oder eure Signing-Keys werden kompromittiert – ein Angreifer könnte damit eigene „Updates“ an eure gesamte Geräteflotte verteilen, signiert mit eurem eigenen Schlüssel und für Geräte wie Nutzer nicht von einem echten Update zu unterscheiden.

Oft übersehen: Die Meldung an die Behörde ist nur die halbe Pflicht: Ihr müsst auch die betroffenen Nutzer informieren – Update installieren, Passwort ändern. Push und In-App-Hinweis erreichen die meisten; die oft übersehene Lücke: Wer Push deaktiviert hat, ist nur noch per E-Mail aus der Registrierung erreichbar. Fehlt beides, ist die Pflicht nicht erfüllbar – nachrüsten geht aber gut.

Meldefähig werden: Was ihr für die 24-Stunden-Frist braucht

24 Stunden sind kürzer, als sie klingen – die Frist läuft ab Kenntnis, und die richtet sich nicht nach Bürozeiten: Kommt der Hinweis eines Sicherheitsforschers am Freitagabend in ein Postfach, das erst am Montag gelesen wird, ist die Frist abgelaufen, bevor die Arbeit begonnen hat. Das ist keine Nachlässigkeit, sondern der Normalzustand der meisten Organisationen – und genau deshalb lösbar. Meldefähigkeit braucht drei Bausteine; prüft selbst, welche ihr schon habt:

Ein überwachter Meldeeingang

Eine security@-Adresse plus eine security.txt auf eurer Website – die Standard-Datei, in der Sicherheitsforscher zuerst nach eurem Kontakt suchen. Dazu eine Vertretungsregelung, damit das Postfach auch am Wochenende und im Urlaub gelesen wird.

Ein Playbook für den Ernstfall

Eine Seite, die festlegt: Wer bewertet einen Hinweis, wer entscheidet über die Meldepflicht, wer meldet an die Behörde – jeweils mit Stellvertreter. Ein einseitiges Playbook schlägt jede 40-Seiten-Richtlinie, die niemand gelesen hat.

Technische Erkennung

Security-Logging in App und Backend: fehlgeschlagene Login-Versuche, ungewöhnliche Update-Aktivität. Ihr könnt nur melden, was ihr bemerkt – ohne Logging seid ihr auf Zufall und fremde Hinweise angewiesen.

Die ersten beiden Bausteine sind Organisation – die löst ihr intern, ggf. mit eurer Kanzlei. Der dritte ist Technik: Logging, Telemetrie, Benachrichtigung. Wie diese Kette im Ernstfall arbeitet, zeigt der Ablauf unten.

Der Ernstfall, durchgespielt: So funktioniert Meldefähigkeit mit uns

Prozess, Zuständigkeiten und die Meldung selbst liegen bei euch und eurer Rechtsberatung – wir bauen die technische Kette, die im Ernstfall jede Stunde spart. Was sie leistet, zeigt ein konkretes Beispiel: Freitag, 22 Uhr – in einer Login-Bibliothek eurer App wird eine kritische Lücke bekannt, und sie wird bereits aktiv ausgenutzt:

Stunde 0

Das Logging schlägt Alarm

Security-Logging

Das Security-Logging in App und Backend erkennt, was nachts kein Mensch sieht: auffällig viele fehlgeschlagene Login-Versuche über viele Konten. Der Alarm geht an die Person aus eurem Playbook – nicht in ein unbeobachtetes Postfach.
Stunde 2

Ihr wisst, wer betroffen ist

SBOMFeld-Telemetrie

Die SBOM zeigt, welche App-Versionen die verwundbare Bibliothek enthalten; die Feld-Telemetrie, wie viele Installationen sie noch nutzen – sagen wir 12.000. Ohne beides wäre „Wie viele sind betroffen?" tagelange Detektivarbeit.
Stunde 20

Die Frühwarnung geht raus

Meldung an CSIRT & ENISA

Ihr meldet an CSIRT und ENISA – mit den Fakten der ersten Stunden: welche Lücke, welche Versionen, wie viele Betroffene. Mehr verlangt die Frühwarnung nicht; die volle Analyse folgt mit der 72-Stunden-Folgemeldung.

24-Stunden-Frist gehalten 4 h Puffer
Tag 2

Eure Nutzer wissen Bescheid

Push & In-AppE-Mail-Fallback

Push und In-App-Hinweis gehen gezielt an die 12.000 Betroffenen – nicht an alle: App aktualisieren, Passwort ändern. Damit ist auch die zweite Pflicht erfüllt: die Nutzer-Information.
Tag 5

Der Patch ist im Feld

Wartungsvertrag

Im Wartungsvertrag aktualisieren wir die Bibliothek, testen die kritischen Pfade und rollen das Update gestaffelt in beide Stores aus. Weil jeder Schritt dokumentiert ist, liegen die Angaben für Folgemeldung und Abschlussbericht bereits vor.
Fall abgeschlossen – alle Fristen gehalten, dokumentiert.

Realistischer Zeitbedarf: Logging, Alarmierung und Feld-Telemetrie in einer bestehenden App nachzurüsten dauert je nach Zustand 2–6 Wochen. Je früher ihr startet, desto mehr dieser Kette steht am 11. September 2026.

Jeder Baustein dieser Kette ist ein eigenes Thema mit eigenem Leitfaden: SBOM für Mobile Apps für die Impact-Analyse, Update-Pflicht & App-Wartung für den Patch – und bei vernetzten Produkten OTA-Firmware-Updates mit Feld-Telemetrie, damit ihr wisst, welche Versionen draußen laufen.

Wie meldefähig seid ihr heute? Im CRA-Readiness-Check prüfen wir als ersten Schwerpunkt eure Meldefähigkeit: Erkennung, Feld-Telemetrie, Benachrichtigungskanal – danach wisst ihr, was bis September realistisch machbar ist und was bis Dezember 2027 warten kann.

Zum CRA-Readiness-Check

Häufige Fragen zu den CRA-Meldepflichten

Kurze Antworten zu Fristen, Meldewegen und Vorbereitung – für den Einzelfall gilt wie immer: keine Rechtsberatung.

Die Frist beginnt, sobald ihr von der aktiv ausgenutzten Schwachstelle bzw. dem schwerwiegenden Vorfall Kenntnis erlangt – nicht erst, wenn ihr die Analyse abgeschlossen habt. Genau deshalb ist die Frühwarnung bewusst schlank gehalten: eine Erstinformation, keine fertige Ursachenanalyse. Praktisch heißt das: Der Eingangskanal muss überwacht sein, und die Bewertung muss in Stunden möglich sein, nicht in Tagen.

Würdet ihr einen Angriff auf euer Produkt bemerken – und binnen 24 Stunden melden können?

Sprich direkt mit James & Joanna – ohne Vertrieb, ohne Umwege.

25+

Jahre Erfahrung

40+

Anwendungen

10+

Top-DACH-Firmen vertrauen

MVP

~6 Wochen

Buche eine 15-minütige Erstberatung – kostenlos & unverbindlich.

Meldefähig bis September 2026 – Vorbereitung jetzt anfragen

Schilder uns kurz euer Produkt und eure App – zwei, drei Sätze reichen. Du bekommst werktags innerhalb von 24 Stunden eine ehrliche Ersteinschätzung: wie meldefähig ihr heute seid und was bis September realistisch nachrüstbar ist. Unverbindlich, in klarer Sprache, ohne Verkaufsdruck.

Deine Daten werden ausschließlich zur Kontaktaufnahme verwendet. Keine Weitergabe an Dritte.