Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb von 24 Stunden melden. Es ist die erste scharfe Frist des EU Cyber Resilience Act (CRA) – die vollständige Konformität folgt erst im Dezember 2027.
Der CRA (Verordnung (EU) 2024/2847) ist seit Dezember 2024 in Kraft, wird aber gestaffelt wirksam. Der erste Pflichtenblock betrifft die Meldung von Schwachstellen und Vorfällen nach Artikel 14. Gemeldet wird über die Single Reporting Platform (SRP) der EU-Agentur ENISA an das zuständige nationale CSIRT und an ENISA – der Aufwand entfällt also nicht auf mehrere Behörden, sondern läuft über einen zentralen Kanal.
Was ab dem 11. September gilt
- Frühwarnung: innerhalb von 24 Stunden nach Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schweren Vorfalls.
- Meldung: innerhalb von 72 Stunden, mit technischen Details, Schweregrad und ersten Gegenmaßnahmen.
- Abschlussbericht: nach 14 Tagen (Schwachstelle, sobald ein Fix verfügbar ist) beziehungsweise einem Monat (schwerer Vorfall).
Wer betroffen ist – und die Rolle von Open Source
Erfasst sind Hersteller von „Produkten mit digitalen Elementen“, die auf dem EU-Markt bereitgestellt werden – auch bereits im Umlauf befindliche Produkte, nicht nur Neuware. Für das Open-Source-Umfeld schafft der CRA die Sonderrolle des „Open-Source-Software-Stewards“ (Art. 24): Stiftungen und Organisationen, die quelloffene Software kommerziell fördern, treffen leichtere, aber eigene Pflichten – darunter Meldepflichten, soweit sie an der Entwicklung beteiligt sind. Rein ehrenamtliche, nicht-kommerzielle Beitragende bleiben ausgenommen.
Einordnung
Die Frist steht, die Technik hinkt: Kurz vor dem Stichtag war die ENISA-Plattform noch nicht vollständig einsatzbereit. Verstöße können mit bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden. Der 11. September ist damit ein Zwischenschritt, kein Endpunkt: Volle CRA-Konformität mit allen Hersteller- und Produktpflichten gilt ab dem 11. Dezember 2027. Betroffene sollten Meldeprozesse und Zuständigkeiten jetzt festlegen.
Quellen: EU-Kommission – CRA Reporting · ENISA – Single Reporting Platform · CRA – Reporting (Art. 14) · Greenbone – CRA-Meldepflichten
