CRA-Meldepflicht für Hersteller: Art. 14 in der Praxis

Was gemeldet werden muss

Art. 14 kennt zwei Anlässe. Eine aktiv ausgenutzte Schwachstelle ist eine, „zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“ (Art. 3 Nr. 42). Ein schwerwiegender Sicherheitsvorfall ist einer, der die Fähigkeit des Produkts beeinträchtigt, Daten oder Funktionen zu schützen, oder der zu böswilligem Code im Produkt oder im Netz eines Nutzers geführt hat oder führen kann (Art. 14 Abs. 5).

Eine veröffentlichte CVE allein ist noch keine Meldepflicht. Nach den Hinweisen des BSI reichen auch ein veröffentlichter Exploit, Proof-of-Concept-Code oder Portscans nicht als Nachweis einer Ausnutzung.

Die Fristen

24Stunden

Frühwarnung, nachdem Sie davon Kenntnis erlangt haben, mit den Mitgliedstaaten, in denen das Produkt bereitgestellt wurde. Bei einem Vorfall dazu, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird.

72Stunden

Meldung mit allgemeinen Informationen zum Produkt, zur Art der Ausnutzung und zu ergriffenen oder möglichen Korrektur- und Abhilfemaßnahmen.

14Tage

Bei einer Schwachstelle: Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur verfügbar ist, mit Beschreibung, Schweregrad, Auswirkungen und der Sicherheitsaktualisierung.

1Monat

Bei einem schwerwiegenden Vorfall: Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Meldung.

An wen und wie

Gemeldet wird gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA, über die einheitliche Meldeplattform nach Art. 16 (Art. 14 Abs. 1). Zuständig ist das CSIRT des Mitgliedstaats, in dem die Entscheidungen zur Cybersicherheit Ihrer Produkte überwiegend getroffen werden (Art. 14 Abs. 7). Für Hersteller mit Sitz in Deutschland ist es das CERT-Bund im BSI.

Die Plattform der ENISA ist seit dem 11.09.2026 in Betrieb. Für die Anmeldung braucht der meldende Vertreter ein EU-Login-Konto mit Zwei-Faktor-Anmeldung. Laut BSI besteht keine Pflicht, sich vor dem ersten Meldefall zu registrieren, und Meldungen sind auf Englisch abzufassen.

Sobald Sie von der Schwachstelle oder dem Vorfall wissen, informieren Sie die betroffenen Nutzer über die Schwachstelle und die Abhilfe, gegebenenfalls in einem strukturierten, maschinenlesbaren Format (Art. 14 Abs. 8).

Was Sie in den ersten 24 Stunden wissen müssen

Die Frühwarnung fragt nach Produkt und Mitgliedstaaten. Beantworten können Sie das nur, wenn Sie wissen, welche Ihrer ausgelieferten Firmware-Stände die betroffene Komponente in welcher Version enthalten. Ohne Stückliste je Release beginnt die Frist mit Archivarbeit.

1. 01

   Stückliste je ausgeliefertem Release, aus der Datei, die auf das Gerät geht, mit Version je Komponente.

2. 02

   Zuordnung Release zu Produkt und Markt

   welche Geräte mit welchem Stand in welchen Ländern verkauft wurden.

3. 03

   Ein Verantwortlicher mit EU-Login für die Meldeplattform, der auch am Wochenende erreichbar ist.

4. 04

   Eine Vorlage für die Nutzerinformation nach Abs. 8, mit Abhilfe und Update-Weg.

5. 05

   Laufende Beobachtung der Kataloge aktiv ausgenutzter Schwachstellen, etwa CISA KEV und EUVD, gegen Ihre Stücklisten.

Auch für Geräte, die schon verkauft sind

Die übrigen Anforderungen des CRA treffen ein Gerät, das vor dem 11.12.2027 in Verkehr gebracht wurde, nur bei einer wesentlichen Änderung (Art. 69 Abs. 2). Die Meldepflicht nach Art. 14 gilt dagegen für alle Produkte im Anwendungsbereich, auch für die im Feld (Art. 69 Abs. 3). Für diese Stände brauchen Sie die Stückliste genauso.