Meldungen nach Art. 14 CRA: Auslöser, Schritte und Fristen

Die rechtlichen Aussagen auf dieser Seite wurden am 21. Oktober 2026 anhand der Amtsblattfassung der Verordnung (EU) 2024/2847 und ihrer Berichtigungen geprüft. Diese Seite dient der Information und ist keine Rechtsberatung. Sie entscheidet nicht darüber, ob ein konkreter Fall meldepflichtig ist.

Am Anfang einer Meldung steht die Entscheidung darüber, was geschehen ist. Ein Fristenrechner kann Ihnen diese Entscheidung nicht abnehmen.

Zuerst den Auslöser klären

Art. 14 verpflichtet Hersteller von Produkten mit digitalen Elementen im Anwendungsbereich der CRA zur Meldung (Art. 14 Abs. 1 und 3; Anwendungsbereich: Art. 2). Die Pflicht betrifft zwei Fälle: eine im Produkt enthaltene aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt (Art. 14 Abs. 1 und 3).

Art. 14 gilt ab dem 11. September 2026 (Art. 71 Abs. 2). Er gilt für alle Produkte im Anwendungsbereich, auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden (Art. 69 Abs. 3).

Eine aktiv ausgenutzte Schwachstelle ist „eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“ (Art. 3 Nr. 42). Ein Scannerfund oder ein Datenbankeintrag allein belegt diese Tatsachen nicht zwangsläufig. Das ist eine Auslegung, keine weitere Definition in der Verordnung. Halten Sie die Nachweise und Ihre Bewertung ihrer Aussagekraft getrennt fest.

Ein Sicherheitsvorfall ist schwerwiegend, wenn er die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, beeinträchtigt oder beeinträchtigen kann (Art. 14 Abs. 5 Buchst. a). Er ist auch schwerwiegend, wenn er zur Einführung oder Ausführung von Schadcode in dem Produkt oder in den Netz- und Informationssystemen eines Nutzers des Produkts geführt hat oder führen kann (Art. 14 Abs. 5 Buchst. b). Legen Sie der Bewertung den vollständigen Gesetzeswortlaut zugrunde. Eine Kurzbezeichnung im Fallprotokoll kann ihn nicht ersetzen.

Mit der Kenntnis beginnen die ersten beiden Fristen

Für Ihren Zeitablauf ist zuerst zu klären, wann der Hersteller Kenntnis erlangt hat. Sowohl die 24-Stunden-Frist als auch die 72-Stunden-Frist laufen ab dem Zeitpunkt, zu dem der Hersteller von der aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt, Kenntnis erlangt hat (Art. 14 Abs. 2 Buchst. a und b sowie Abs. 4 Buchst. a und b).

Mit der Übermittlung der Frühwarnung beginnt keine neue 72-Stunden-Frist. Für beide Schritte ist außerdem „unverzüglich“ zu handeln. Die Stundenangaben sind Höchstfristen und keine Erlaubnis zu warten.

Halten Sie in der Fallakte fest, was wann bekannt wurde, und legen Sie die Nachweise dazu ab. Benennen Sie die für die Entscheidung verantwortliche Person. Erfassen Sie den tatsächlichen Zeitpunkt der Kenntnis getrennt vom Zeitpunkt, zu dem der Eintrag erstellt wurde. Die Auslegung hier lautet: Ein späterer Eintrag verschiebt den Zeitpunkt der Kenntnis nicht.

Für den Abschlussbericht ist ein anderes Ereignis maßgeblich.

Bei einer Schwachstelle beginnen die 14 Tage, sobald eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, nicht mit der Kenntnis (Art. 14 Abs. 2 Buchst. c). Bei einem Sicherheitsvorfall beginnt der eine Monat mit der Übermittlung der Meldung des Sicherheitsvorfalls, nicht mit der Kenntnis (Art. 14 Abs. 4 Buchst. c). Erfassen Sie diese Ereignisse in getrennten Feldern.

Die Meldung von Schwachstellen schrittweise vorbereiten

In der Frühwarnung werden gegebenenfalls die Mitgliedstaaten angegeben, in deren Hoheitsgebiet das Produkt mit digitalen Elementen des Herstellers seiner Kenntnis nach bereitgestellt wurde (Art. 14 Abs. 2 Buchst. a).

Geben Sie für die Meldung von Schwachstellen die verfügbaren allgemeinen Informationen zum betroffenen Produkt sowie zur allgemeinen Art der Ausnutzung und der Schwachstelle an. Nennen Sie alle ergriffenen Korrektur- oder Risikominderungsmaßnahmen sowie Korrektur- oder Risikominderungsmaßnahmen, die Nutzer ergreifen können. Geben Sie gegebenenfalls an, als wie sensibel der Hersteller die gemeldeten Informationen ansieht (Art. 14 Abs. 2 Buchst. b).

Der Abschlussbericht enthält mindestens: eine Beschreibung der Schwachstelle einschließlich ihres Schweregrads und ihrer Auswirkungen; falls verfügbar, Informationen über jeden böswilligen Akteur, der die Schwachstelle ausgenutzt hat oder ausnutzt; und Informationen über die Sicherheitsaktualisierung oder andere Korrekturmaßnahmen, die zur Behebung der Schwachstelle zur Verfügung gestellt wurden (Art. 14 Abs. 2 Buchst. c Ziff. i bis iii).

Trennen Sie im Abschlussbericht bestätigte Befunde von offenen Fragen. Bewahren Sie die Nachweise für jede Schlussfolgerung auf. Wenn die Identität des Angreifers nur angenommen wird, sagen Sie das.

Die Meldung eines schwerwiegenden Sicherheitsvorfalls vorbereiten

Die Frühwarnung enthält mindestens die Angabe, ob vermutet wird, dass der Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist. Gegebenenfalls werden auch die Mitgliedstaaten angegeben, in deren Hoheitsgebiet das Produkt mit digitalen Elementen des Herstellers seiner Kenntnis nach bereitgestellt wurde (Art. 14 Abs. 4 Buchst. a).

Geben Sie für die Meldung des Sicherheitsvorfalls die verfügbaren allgemeinen Informationen zur Art des Sicherheitsvorfalls und eine erste Bewertung an. Nennen Sie alle ergriffenen Korrektur- oder Risikominderungsmaßnahmen, Korrektur- oder Risikominderungsmaßnahmen, die Nutzer ergreifen können, und gegebenenfalls, als wie sensibel der Hersteller die gemeldeten Informationen ansieht (Art. 14 Abs. 4 Buchst. b).

Der Abschlussbericht enthält mindestens: eine ausführliche Beschreibung des Sicherheitsvorfalls einschließlich seines Schweregrads und seiner Auswirkungen; die Art der Bedrohung oder die zugrunde liegende Ursache, die den Sicherheitsvorfall wahrscheinlich ausgelöst hat; und bereits getroffene sowie laufende Risikominderungsmaßnahmen (Art. 14 Abs. 4 Buchst. c Ziff. i bis iii).

Bei Bedarf kann das als Koordinator benannte CSIRT, das die Meldung zuerst erhalten hat, einen Zwischenbericht mit relevanten Statusaktualisierungen anfordern (Art. 14 Abs. 6). Mit der ersten Übermittlung ist die Arbeit nicht beendet. Legen Sie fest, wer für Aktualisierungen verantwortlich bleibt.

Wohin Meldungen gehen und wie Nutzer informiert werden

Melden Sie dem als Koordinator benannten CSIRT und der ENISA gleichzeitig über die nach Art. 16 eingerichtete einheitliche Meldeplattform (Art. 14 Abs. 1 und 3).

Für die Meldung wird der Endpunkt für die elektronische Meldung des als Koordinator benannten CSIRT des Mitgliedstaats genutzt, in dem der Hersteller seine Hauptniederlassung in der Union hat (Art. 14 Abs. 7).

Die Hauptniederlassung liegt dort, wo die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden. Lässt sich das nicht feststellen, ist es die Niederlassung mit der höchsten Beschäftigtenzahl in der Union. Für Hersteller ohne Hauptniederlassung in der Union gilt eine feste Reihenfolge nach Art. 14 Abs. 7. Lesen Sie den Leitfaden zur Plattform, bevor Sie den Übermittlungsweg vorbereiten.

Eine Meldung an die Behörden ersetzt nicht die Information der Nutzer. Nachdem der Hersteller Kenntnis erlangt hat, muss er die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Sicherheitsvorfall informieren. Soweit erforderlich, muss er sie auch über Risikominderungs- und Korrekturmaßnahmen informieren, die sie ergreifen können (Art. 14 Abs. 8). Gegebenenfalls werden diese Informationen in einem strukturierten, maschinenlesbaren Format bereitgestellt, das leicht automatisch verarbeitet werden kann (Art. 14 Abs. 8). Sagen Sie den Nutzern, was sie tun können. Machen Sie deutlich, welche Maßnahme verfügbar ist und welche noch erarbeitet wird.

Rechenbeispiel: zwei getrennte Termine für den Abschlussbericht

Dies ist ein erfundenes Beispiel, keine Bewertung eines realen Falls. Alle folgenden Uhrzeiten sind in UTC angegeben.

Der Ablauf lautet: Signal → Kenntnis → Frühwarnung innerhalb von 24 Stunden → Meldung von Schwachstellen innerhalb von 72 Stunden → Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht (Art. 14 Abs. 2 Buchst. a bis c). Die ersten beiden Fristen beginnen mit der Kenntnis. In beiden Fällen muss unverzüglich gehandelt werden (Art. 14 Abs. 2 Buchst. a und b). Bewerten Sie, was das Signal belegt, bevor Sie einen Zeitpunkt der Kenntnis ansetzen. Das Beispiel beginnt nach dieser Bewertung. Es entscheidet nicht, wann ein reales Signal bedeutet, dass der Hersteller Kenntnis erlangt hat.

Nehmen wir an, der Hersteller erlangt am Montag, dem 2. November 2026, um 10:00 Uhr Kenntnis von einer aktiv ausgenutzten Schwachstelle. Zählen Sie die verstrichenen Stunden ab diesem Zeitpunkt. Die Höchstfristen enden am 3. November um 10:00 Uhr für die Frühwarnung und am 5. November um 10:00 Uhr für die Meldung von Schwachstellen. Verwenden Sie diese Zeitpunkte als Planungsgrenzen.

Nehmen wir nun an, am Freitag, dem 6. November, steht eine Risikominderungsmaßnahme zur Verfügung. Der Abschlussbericht muss dann bis zum Ende des Freitags, dem 20. November, vorliegen, auch wenn eine dauerhafte Behebung erst später folgt.

Nehmen wir nun einen getrennten schwerwiegenden Sicherheitsvorfall an, der sich auf die Sicherheit des Produkts auswirkt und von dem der Hersteller zum selben Zeitpunkt Kenntnis erlangt. Die ersten beiden Höchstfristen sind identisch. Wird die Meldung des Sicherheitsvorfalls in diesem Beispiel am 4. November übermittelt, muss der Abschlussbericht bis zum Ende des 4. Dezember vorliegen. Verwenden Sie das tatsächliche Übermittlungsdatum, nicht den spätesten zulässigen Zeitpunkt für die Meldung des Sicherheitsvorfalls (Art. 14 Abs. 4 Buchst. c).

Die oben genannten Daten folgen den Berechnungsregeln aus Art. 3 der Verordnung (EWG, Euratom) Nr. 1182/71: Der Tag des Ereignisses wird nicht mitgezählt, und ein Monat endet am gleichen Datum des Folgemonats. Die CRA selbst verweist nicht auf diese Verordnung. Nach deren Art. 3 Abs. 4 läuft eine in Tagen oder Monaten bestimmte Frist, die an einem Samstag, Sonntag oder Feiertag endet, bis zum Ende des nächsten Arbeitstags. Stundenfristen werden nicht verlängert. Prüfen Sie Feiertage und Zeitzonen, bevor Sie die Berechnung als rechtlich maßgeblich behandeln.

Was Art. 14 nicht verlangt

Art. 14 macht nicht jeden Schwachstellenfund meldepflichtig. Die Pflicht betrifft aktiv ausgenutzte Schwachstellen (Art. 14 Abs. 1; Art. 3 Nr. 42). Ebenso gilt nicht jeder Sicherheitsvorfall als schwerwiegend (Art. 14 Abs. 3 und 5). Freiwillige Meldungen haben eine eigene Grundlage in Art. 15.

Die Frühwarnung setzt keine abgeschlossene Untersuchung der Grundursache voraus. Die wahrscheinliche Grundursache gehört in den Abschlussbericht zum Sicherheitsvorfall (Art. 14 Abs. 4 Buchst. c Ziff. ii). Warten Sie nicht auf eine dauerhafte Behebung, wenn eine Risikominderungsmaßnahme die Frist für den Abschlussbericht zur Schwachstelle bereits in Gang gesetzt hat (Art. 14 Abs. 2 Buchst. c). Das Speichern eines Entwurfs übermittelt ihn nicht. Dokumentieren Sie die Übermittlung separat.

Prüfen Sie die Meldepflicht getrennt von der Frage der Geldbußen. Art. 64 Abs. 10 Buchst. a in der durch ABl. L 2025/90555 berichtigten Fassung schließt Geldbußen für Hersteller aus, die als Kleinst- oder Kleinunternehmen gelten und die 24-Stunden-Frist für die Frühwarnung versäumen. Die Meldepflicht selbst entfällt dadurch nicht.

Quellen

• Verordnung (EU) 2024/2847 (öffnet sich in einem neuen Tab), Amtsblattfassung (Amt für Veröffentlichungen): Art. 2 Abs. 1, Art. 3 Nr. 42, Art. 14 Abs. 1 bis 8, Art. 15, Art. 16 Abs. 1, Art. 64 Abs. 10, Art. 69 Abs. 3, Art. 71 Abs. 2.
• Berichtigung ABl. L 2025/90555 (öffnet sich in einem neuen Tab) vom 2. Juli 2025: In der deutschen Fassung berichtigt sie Art. 13 Abs. 8 und Art. 64 Abs. 10 („Absätzen 2 bis 9“ statt „Absätzen 3 bis 9“). Die übrigen Berichtigungen der deutschen Fassung (ABl. L 2025/90828, Art. 67; ABl. L 2026/90667, Art. 7 Abs. 2, Art. 13 Abs. 15, Art. 17 Abs. 1, Art. 55 Abs. 4 und Anhang VIII) betreffen Art. 14 nicht.
• Verordnung (EWG, Euratom) Nr. 1182/71 (öffnet sich in einem neuen Tab): Art. 3, Regeln für Fristen, Daten und Termine.
• Europäische Kommission: Cyberresilienz-Verordnung, Meldepflichten (öffnet sich in einem neuen Tab) (gelesen am 21. Oktober 2026).
• ENISA: Single Reporting Platform (öffnet sich in einem neuen Tab) (gelesen am 21. Oktober 2026).

Für ein Arbeitsblatt zur Terminberechnung nutzen Sie den crAcken-Rechner für Meldefristen.