CRA-Meldefristenrechner
Geben Sie ein, wann Sie Kenntnis erlangt haben. Sehen Sie, wann jeder Bericht nach Art. 14 spätestens fällig ist.
Fristen
Der Rechner benötigt JavaScript in Ihrem Browser. Die angewandten Regeln sind unten aufgeführt.
Geben Sie an, wann Sie Kenntnis erlangt haben, um die Fristen anzuzeigen.
Kenntnis
24 hFrühwarnung
72 hMeldung von Schwachstellen
Korrektur- oder Risikominderungsmaßnahme verfügbar
Ab diesem Zeitpunkt laufen die 14 Tage für den Abschlussbericht (Art. 14 Abs. 2 Buchst. c).
14 TageAbschlussbericht
Die Fristen richten sich nach dem strengsten EU-Kalender und enden niemals später als gesetzlich vorgesehen.
Verordnung (EU) 2024/2847, Art. 14 · Wortlaut am 18. Oktober 2026 mit dem Amtsblatt abgeglichen · Information, keine Rechtsberatung
Was die Verordnung sagt
Fristen
- Art. 14 Abs. 1, Art. 14 Abs. 3
- Der Hersteller meldet eine aktiv ausgenutzte Schwachstelle und einen schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt, gleichzeitig dem als Koordinator benannten CSIRT und der ENISA über die einheitliche Meldeplattform (Art. 16).
- Art. 14 Abs. 2 Buchst. a, Art. 14 Abs. 4 Buchst. a
- Frühwarnung: unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat.
- Art. 14 Abs. 2 Buchst. b, Art. 14 Abs. 4 Buchst. b
- Meldung: unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, sofern die Informationen nicht bereits übermittelt wurden.
- Art. 14 Abs. 2 Buchst. c
- Abschlussbericht zu einer aktiv ausgenutzten Schwachstelle: spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht.
- Art. 14 Abs. 4 Buchst. c
- Abschlussbericht zu einem schwerwiegenden Sicherheitsvorfall: innerhalb eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls.
- Art. 14 Abs. 5
- Ein Sicherheitsvorfall ist schwerwiegend, wenn er die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder wenn er dazu geführt hat oder führen kann, dass Schadcode eingeführt oder ausgeführt wird. Sie entscheiden, ob dies der Fall ist.
Wer die Meldung erhält
- Art. 14 Abs. 7
- Der Bericht geht an das als Koordinator benannte CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat. Fehlt eine solche, nennt der Artikel nacheinander den Mitgliedstaat des Bevollmächtigten, des Einführers, des Händlers oder den mit den meisten Nutzern.
- Art. 14 Abs. 6, Art. 14 Abs. 8
- Das CSIRT kann einen Zwischenbericht anfordern; die Verordnung legt dafür keine feste Frist fest. Nachdem der Hersteller Kenntnis erlangt hat, informiert er auch die betroffenen Nutzer und gegebenenfalls alle Nutzer.
Geltungsbereich und Daten
- Art. 71 Abs. 2, Art. 69 Abs. 3
- Die Meldepflicht gilt ab dem 11. September 2026; Geldbußen nach Art. 64 gelten ab dem 11. Dezember 2027. Art. 14 gilt auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden; die Vorschriften über notifizierte Stellen (Kapitel IV) gelten seit dem 11. Juni 2026. Sanktionen und zuständige Behörden werden durch nationales Recht festgelegt.
- Art. 64 Abs. 10
- Gegen Kleinstunternehmen und kleine Unternehmen werden keine Geldbußen verhängt, wenn sie die Frühwarnung innerhalb von 24 Stunden versäumen (Art. 14 Abs. 2 Buchst. a und Art. 14 Abs. 4 Buchst. a; Art. 64 Abs. 10 in der durch ABl. L 2025/90555 berichtigten Fassung).
Wie der Rechner zählt
- Jede Meldung muss unverzüglich erfolgen. Die angezeigten Zeitpunkte sind die spätesten, die die Verordnung zulässt, keine Zieltermine.
- Die 24 und 72 Stunden sind nach Stunden bemessene Zeiträume: verstrichene Stunden ab dem genauen Zeitpunkt, zu dem der Hersteller Kenntnis erlangt, berechnet in UTC und in Ortszeit angezeigt. Eine Zeitumstellung dazwischen verschiebt die Frist nicht; der Rechner weist an der betreffenden Station darauf hin.
- Tage und Monate werden nach der Verordnung (EWG, Euratom) Nr. 1182/71 gezählt. Der Tag, an dem die Maßnahme zur Verfügung stand oder die Meldung übermittelt wurde, wird nicht mitgezählt. Der Zeitraum endet am Ende seines letzten Tages in der Zeitzone des Mitgliedstaats des als Koordinator benannten CSIRT. Ein Zeitraum von einem Monat endet am gleichen Kalendertag des Folgemonats. Gibt es diesen Kalendertag im Folgemonat nicht, endet er am letzten Tag dieses Monats.
- Nach Art. 3 Abs. 4 der Verordnung (EWG, Euratom) Nr. 1182/71 kann ein nach Tagen oder Monaten bemessener Zeitraum, dessen letzter Tag ein Samstag, Sonntag oder Feiertag ist, am Ende des nächsten Arbeitstags enden. Dies gilt nicht für nach Stunden bemessene Zeiträume. Der Rechner zeigt das Datum ohne Verlängerung als Frist und den nächsten Arbeitstag gesondert als mögliche Verlängerung an; er berücksichtigt nur Wochenenden, keine Feiertage.
- Stand eine Korrektur- oder Risikominderungsmaßnahme bereits zur Verfügung, bevor der Hersteller Kenntnis erlangt hat, werden die 14 Tage ab dem Zeitpunkt gerechnet, zu dem er Kenntnis erlangt hat, da erst dann die Meldepflicht entsteht; ab Verfügbarkeit der Maßnahme gerechnet, können sie bereits verstrichen sein. Melden Sie daher unverzüglich.
- Die einheitliche Meldeplattform der ENISA kann einen eigenen 72-Stunden-Zähler anzeigen, der 48 Stunden nach Übermittlung der Frühwarnung beginnt. Nach der Verordnung werden die 72 Stunden ab dem Zeitpunkt gezählt, zu dem der Hersteller Kenntnis erlangt (Art. 14 Abs. 2 Buchst. b); der Rechner folgt der Verordnung.
In crAcken hält jeder Fall diese Fristen zusammen mit dem zugrunde liegenden Kenntnisprotokoll fest: wer wann und auf welcher Grundlage entschieden hat.