Seit dem 11. September 2026 gelten die Meldepflichten nach Art. 14 des Cyber Resilience Act. Hersteller betroffener Produkte mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit erfassen, bewerten und fristgerecht melden.
Wann die Meldefrist beginnt
Für die Frühwarnung sieht die Verordnung grundsätzlich eine Frist von 24 Stunden ab Kenntnis vor. Für die anschließende Schwachstellen- oder Vorfallmeldung gelten grundsätzlich 72 Stunden. Die Frist für den Abschlussbericht hängt vom Meldegrund ab. Bei aktiv ausgenutzten Schwachstellen knüpft sie an die Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme an.
Wer Meldungen im Unternehmen auslöst
Legen Sie fest, wer Hinweise aus Support, Entwicklung und Lieferkette bewertet und wer bei Abwesenheit entscheidet. Halten Sie betroffene Produktversionen, den Zeitpunkt der Kenntnis und den Stand der Abhilfe in einem gemeinsamen Vorgang fest. Mit Zulieferern sollten Sie klären, wie dringende Hinweise außerhalb der Geschäftszeiten weitergeleitet werden.
Die Produktanforderungen separat einplanen
Der CRA gilt in weiten Teilen ab dem 11. Dezember 2027. Die bereits laufende Meldepflicht ist ein eigener Arbeitsschritt. Nutzen Sie einen simulierten Vorfall, um zu prüfen, ob Rechtsabteilung, Produktteam und IT-Sicherheit innerhalb eines Tages zu einer dokumentierten Bewertung kommen.
Quelle: Art. 14 und 71 der Verordnung (EU) 2024/2847 sowie die Erläuterungen der Europäischen Kommission zu den Meldepflichten
Mehr zur Beratung im Technikrecht.