IT-Sicherheit · 21. September 2026

CRA-Meldepflichten für Hersteller: Fristen ab 11.09.2026

Seit dem 11. September 2026 gelten für Hersteller von Produkten mit digitalen Elementen auf dem EU-Binnenmarkt die Meldepflichten nach Artikel 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA). Adressat sind Hersteller – also natürliche oder juristische Personen, die solche Produkte unter eigenem Namen oder eigener Marke entwickeln, herstellen oder herstellen lassen und in Verkehr bringen. Öffentliche Auftraggeber, Betreiber von Fachverfahren und Vergabestellen sind mittelbar betroffen: Sie beziehen Hardware und Software, die unter die Meldepflicht fallen, und müssen künftig prüfen können, ob Lieferanten Meldeprozesse, Fristen und Nachweise belastbar abbilden.

Die übrigen wesentlichen CRA-Pflichten (wesentliche Cybersicherheitsanforderungen, Konformitätsbewertung, CE-Kennzeichnung) greifen grundsätzlich erst ab dem 11. Dezember 2027. Die Meldepflicht ab dem 11.09.2026 ist damit ein eigener, vorgezogener Anlass – keine bloße Wiederholung der NIS2-Nachweisdebatte für Einrichtungen.

Was sich ändert

Artikel 14 CRA verpflichtet Hersteller, zwei getrennte Sachverhalte über die von der ENISA betriebene CRA Single Reporting Platform (SRP) gleichzeitig dem als Koordinator benannten CSIRT und der ENISA zu melden:

1. Aktiv ausgenutzte Schwachstellen im Produkt mit digitalen Elementen (Art. 14 Abs. 1 CRA; Definition Art. 3 Nr. 42).
2. Schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit des Produkts (Art. 14 Abs. 3 CRA; Schwere nach Art. 3 Nr. 44 bzw. Art. 14 Abs. 5).

Die Stufen und Fristen sind einheitlich dokumentiert (Verordnungstext, EU Digital Strategy, BSI):

• Frühwarnung binnen 24 Stunden nach Kenntniserlangung,
• detaillierte Meldung binnen 72 Stunden,
• Abschlussbericht bei aktiv ausgenutzter Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist; bei schwerwiegendem Vorfall binnen eines Monats nach der 72-Stunden-Meldung.

Die Meldepflicht gilt für alle auf dem Unionsmarkt bereitgestellten Produkte mit digitalen Elementen – einschließlich solcher, die bereits vor dem 11.12.2027 in Verkehr gebracht wurden. Die Hauptregelungen des CRA ab 2027 und die Meldepflicht ab 2026 sind also zeitlich entkoppelt.

In Deutschland ist nach Angaben des BSI das CERT-Bund das koordinierende CSIRT; die CRA-Marktüberwachung ist ebenfalls beim BSI angesiedelt. Die Meldung erfolgt einmal über die englischsprachige SRP; eine vorherige Registrierung ist nicht Pflicht, kann aber im Bedarfsfall kurzfristig erfolgen. Die CRA-Meldung ersetzt nicht zwingend Nutzerinformationen und andere bestehende Pflichten. Ein und derselbe Vorfall kann parallel nach NIS2 (nationales Portal) und nach dem CRA (SRP) meldepflichtig sein – das BSI weist ausdrücklich auf diese Doppelstruktur hin, bis etwaige EU-Harmonisierungen greifen.

Abgrenzung zur NIS2-Lage: NIS2 adressiert Einrichtungen und deren Netz- und Informationssysteme; der CRA adressiert Produkte und Hersteller sowie produktbezogene Schwachstellen und Vorfälle. Wer nur NIS2-Nachweise für Betreiber führt, deckt die Hersteller-Meldekette nach Art. 14 CRA damit nicht ab.

Folgen für Nachweis, Test, Abnahme oder Vergabe

Für Beschaffung und Betrieb in der öffentlichen Verwaltung verschiebt sich der Nachweisdruck vom reinen „Produkt ist sicher“-Versprechen hin zu prozessfähigen Melde- und Reaktionsketten:

• Vergabe / Eignung: Ausschreibungen sollten abfragen, ob der Anbieter (oder sein Hersteller) Assigned Representatives für die SRP benannt hat, 24h/72h-Runbooks existieren und Schnittstellen zu PSIRT/CSIRT dokumentiert sind.
• Abnahme: Neben funktionalen Tests gehören Prüfungen, ob Security-Contact (z. B. Security.txt), Coordinated-Vulnerability-Disclosure-Prozess und Eskalationswege bis zur SRP-Meldung nachvollziehbar sind – auch wenn die übrigen CRA-Produktanforderungen erst 2027 voll greifen.
• Test und Schwachstellenmanagement: Tests, die nur „ausnutzbar, aber nicht aktiv ausgenutzt“ feststellen, lösen die CRA-Meldepflicht nicht aus (so die BSI-Einordnung zu Art. 3 Nr. 42). Umgekehrt muss der Übergang von PoC zu belastbarer Ausnutzung im Betrieb erkannt und fristgerecht gemeldet werden können.
• Nachweisführung: Zeitstempel von Kenntniserlangung, Inhalt der Frühwarnung/Detailmeldung/Abschlussbericht und Verknüpfung zu Ticket, Patch und Nutzerkommunikation müssen revisionssicher abgelegt werden – insbesondere bei Produkten, die parallel unter NIS2-relevante Betreiber fallen.
• Bestandssysteme: Weil die Meldepflicht auch Altprodukte auf dem Markt erfasst, reicht eine „wir warten auf 2027“-Strategie nicht: Lieferantenverträge und Wartungsvereinbarungen brauchen schon jetzt klare Melde- und Informationsklauseln.

Was jetzt zu tun ist

1. Produktportfolio unter CRA-Meldesicht inventarisieren: alle Hardware-/Software-Produkte mit digitalen Elementen erfassen, die auf dem EU-Markt bereitgestellt oder bezogen werden; Herstellerrolle (eigener Hersteller, Importeur, Distributor) und Hauptniederlassung dokumentieren.
2. Zuständiges koordinierendes CSIRT und SRP-Zugang klären: für Hersteller mit EU-Hauptniederlassung in Deutschland CERT-Bund/BSI; EU-Login und Assigned Representative (Primary/Secondary) festlegen und Vertretung sicherstellen.
3. Melde-Runbook mit den drei Fristen schreiben und üben: 24h-Frühwarnung, 72h-Detailmeldung, Abschlussbericht (14 Tage nach Abhilfe bzw. ein Monat nach 72h-Meldung); Trigger „aktiv ausgenutzt“ vs. „schwerwiegender Vorfall“ operationalisieren.
4. Schnittstelle NIS2 und CRA trennen und referenzieren: bei paralleler Meldepflicht beide Kanäle bedienen und Querverweise in den Meldungen setzen; keine Annahme, eine NIS2-Meldung ersetze die CRA-SRP-Meldung.
5. Vergabe- und Vertragsvorlagen anpassen: Nachweispflichten zu Meldeprozessen, Patch- und Nutzerinformation, Reaktionszeiten und Auditierbarkeit der Meldekette in EVB-IT-nahe Anlagen oder Leistungsbeschreibungen aufnehmen.
6. Abnahme- und Testfälle ergänzen: prüfbare Kriterien für CVD-Prozess, Security-Contact, Eskalation bis SRP sowie für die Dokumentation von Kenntniszeitpunkt und Abhilfemaßnahmen; Stichproben bei kritischen Lieferanten.
7. Zeitplan bis 11.12.2027 mitführen: Meldepflicht ist erledigt nur für Art. 14; parallel die Vorbereitung auf wesentliche Anforderungen, Konformität und CE-Kennzeichnung ab Dezember 2027 planen (Kapitel IV zu Konformitätsbewertungsstellen bereits ab 11.06.2026 relevant).

Für die Nachweisführung in Anforderungs-, Test- und Abnahmeprojekten hilft eine durchgängige Verknüpfung von Schwachstellenfällen, Testfällen und Freigaben – etwa in On-Prem-Suites wie aqua –, damit Fristen, Zuständigkeiten und Nachweise gegenüber Revision und Marktüberwachung belegbar bleiben. Das ersetzt weder die SRP-Meldung noch die Herstellerverantwortung.