CRA-Meldepflicht für Hersteller nach Art. 14

Dieser Leitfaden zeigt, wann die Pflicht greift, was in jede Stufe gehört und wie der Ablauf im Alltag funktioniert.

Wen die Meldepflicht trifft

Hersteller. Sie entwickeln ein Produkt mit digitalen Elementen oder lassen es entwickeln und vermarkten es unter eigenem Namen oder eigener Marke (Art. 3 Nr. 13).
Einführer und Händler. Sie gelten als Hersteller, wenn sie ein Produkt unter eigenem Namen in Verkehr bringen oder es wesentlich ändern (Art. 21).
Andere, die wesentlich ändern. Wer ein Produkt wesentlich ändert und auf dem Markt bereitstellt, gilt für den betroffenen Teil als Hersteller, bei Auswirkung auf die Cybersicherheit insgesamt für das ganze Produkt (Art. 22).

Die Pflicht gilt auch für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Sie endet nach den Leitlinien der Kommission auch nicht mit dem Unterstützungszeitraum (C(2026) 5252, Rn. 210).

Zwei Ereignisse lösen die Meldung aus

Aktiv ausgenutzte Schwachstelle. Es gibt verlässliche Nachweise, dass ein böswilliger Akteur die Schwachstelle in einem System ohne Zustimmung des Eigners ausgenutzt hat (Art. 3 Nr. 42). Das gilt auch für eine Schwachstelle aus einer zugekauften Komponente, wenn sie in Ihrem Produkt ausgenutzt wurde.
Schwerwiegender Sicherheitsvorfall. Der Vorfall beeinträchtigt die Fähigkeit des Produkts, sensible oder wichtige Daten oder Funktionen zu schützen, oder kann das tun. Schwerwiegend ist er auch, wenn er zu Schadcode im Produkt oder im Netz eines Nutzers geführt hat oder führen kann (Art. 14 Abs. 5).

Was nicht gemeldet werden muss

Nicht jede Schwachstelle ist meldepflichtig. Die Kommission nennt in ihren Leitlinien und FAQ klare Abgrenzungen:

Bekannte, aber nicht ausgenutzte Schwachstelle. Ein Fund in einer Komponente, der in Ihrem Produkt nicht ausnutzbar ist oder dort nicht ausgenutzt wurde, fällt nicht unter die Pflichtmeldung (Rn. 218).
Fund aus Test oder Bug-Bounty. Eine Zero-Day-Lücke, die ein Prüflabor oder ein Ethical Hacker findet, ist ohne Hinweis auf böswillige Ausnutzung nicht meldepflichtig (Kommissions-FAQ zu Zero-Day-Schwachstellen).
Ausnutzung, die schon vorher bekannt war. Wussten Sie bereits vor dem 11.09.2026 von der aktiven Ausnutzung, müssen Sie nicht rückwirkend melden. Erfahren Sie erst danach davon, gilt die Pflicht, auch wenn die Schwachstelle selbst älter ist (Rn. 217).

Die Behandlung der Schwachstelle bleibt davon unberührt. Hinzu kommt die Meldung an den Hersteller oder Betreuer der Komponente (Art. 13 Abs. 6). Art. 15 erlaubt zusätzlich freiwillige Meldungen.

Wann die Frist beginnt

Die Frist beginnt, wenn Sie Kenntnis erlangen. Die Verordnung definiert diesen Zeitpunkt nicht, die Leitlinien der Kommission beschreiben ihn aber: Ein verdächtiges Ereignis prüfen Sie sofort. Kenntnis besteht, sobald Sie nach dieser ersten Prüfung mit hinreichender Gewissheit wissen, dass eine aktive Ausnutzung oder ein schwerwiegender Vorfall vorliegt (Rn. 213).

Sie müssen also nicht das Ende der vollständigen Analyse abwarten. Die Leitlinien sind unverbindlich, geben aber die Sicht der Kommission wieder. Halten Sie deshalb Datum, Uhrzeit und Grund Ihrer Einschätzung fest.

Drei Stufen und was in jede gehört

Sie melden schrittweise und ergänzen, was Sie inzwischen wissen. Bereits übermittelte Angaben müssen Sie nicht wiederholen.

Stufe	Frist	Aktiv ausgenutzte Schwachstelle	Schwerwiegender Vorfall
Frühwarnung	Unverzüglich, spätestens 24 Stunden nach Kenntnis	Mitgliedstaaten, in denen das Produkt nach Ihrer Kenntnis bereitgestellt wurde	Ob ein Verdacht auf rechtswidrige oder böswillige Handlungen besteht; gegebenenfalls die Mitgliedstaaten
Meldung	Unverzüglich, spätestens 72 Stunden nach Kenntnis	Produkt, Art der Ausnutzung und der Schwachstelle, ergriffene Maßnahmen, Maßnahmen für Nutzer, Sensibilität der Angaben	Art des Vorfalls, erste Bewertung, ergriffene Maßnahmen, Maßnahmen für Nutzer, Sensibilität der Angaben
Abschlussbericht	Schwachstelle: spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist. Vorfall: innerhalb eines Monats nach der Meldung	Beschreibung mit Schweregrad und Auswirkungen, falls verfügbar Angaben zum Angreifer, bereitgestellte Korrektur	Ausführliche Beschreibung mit Schweregrad und Auswirkungen, Art der Bedrohung oder Ursache, getroffene und laufende Abhilfe

Das als Koordinator benannte CSIRT kann zusätzlich einen Zwischenbericht anfordern (Art. 14 Abs. 6).

Wohin die Meldung geht

Plattform. Sie melden über die einheitliche Meldeplattform der ENISA, die seit dem 11.09.2026 in Betrieb ist. Nach der ENISA-FAQ läuft die Meldung über die Oberfläche der Plattform, eine Programmierschnittstelle gibt es zum Start nicht.
Zuständiges CSIRT. Maßgeblich ist der Mitgliedstaat Ihrer Hauptniederlassung, also dort, wo Entscheidungen zur Cybersicherheit Ihrer Produkte überwiegend fallen. Lässt sich das nicht bestimmen, zählt die Niederlassung mit den meisten Beschäftigten in der Union (Art. 14 Abs. 7). Für Deutschland nennt die ENISA-Liste CERT-Bund.
Einmal melden. Die Meldung ist gleichzeitig für die ENISA zugänglich. Das CSIRT leitet sie an die Koordinatoren der Staaten weiter, in denen das Produkt nach Ihren Angaben bereitgestellt wurde (Art. 16 Abs. 2).

Hersteller ohne Hauptniederlassung in der Union folgen der Reihenfolge in Art. 14 Abs. 7: Bevollmächtigter, Einführer, Händler, dann Staat mit den meisten Nutzern.

Für die Plattform brauchen die meldenden Personen ein persönliches EU-Login-Konto mit Multi-Faktor-Authentifizierung. Die ENISA rät, die Registrierung erst im Bedarfsfall zu starten, und nennt sie eine Sache weniger Minuten, sofern das EU-Login-Konto schon besteht. Klären Sie also vorher, wer ein solches Konto hat.

Nutzer informieren

Neben der Behörde informieren Sie die betroffenen Nutzer, wo angebracht auch alle Nutzer, über die Schwachstelle oder den Vorfall. Nennen Sie die Maßnahmen, die Nutzer selbst ergreifen können, wo angebracht in strukturierter, maschinenlesbarer Form (Art. 14 Abs. 8).

Das heißt nicht, dass Sie Details öffentlich machen müssen. Nach den Leitlinien können Sie die Information auf die betroffenen Kunden beschränken, gerade bei Produkten in sensiblen Umgebungen (Rn. 220).

Herstellerhinweis im CSAF-Format mit den betroffenen Assets eines Betreibers (Testdaten) — So kommt ein maschinenlesbarer Hinweis beim Betreiber an: Complass ordnet ihn dessen Assets zu.

Der Ablauf in sechs Schritten

Eingang bewerten. Ein Hinweis kommt von Kunden, Forschenden, Behörden oder aus der eigenen Überwachung. Eine benannte Person prüft ihn sofort.
Kenntnis festhalten. Liegt ein meldepflichtiges Ereignis vor, notieren Sie Zeitpunkt und Begründung. Ab jetzt laufen die Fristen.
Frühwarnung senden. Melden Sie mit dem, was Sie wissen. Mehr verlangt diese Stufe nicht.
Meldung ergänzen. Spätestens nach 72 Stunden folgen Art, erste Bewertung und Maßnahmen.
Nutzer informieren. Sagen Sie Betroffenen, was sie tun sollen, und halten Sie fest, wen Sie wann informiert haben.
Abschlussbericht abgeben. Spätestens 14 Tage nach der Korrektur oder einen Monat nach der Meldung schließen Sie den Fall ab und halten fest, was Sie daraus lernen.

Beispiel aus der Industrie

Das Beispiel ist erfunden. Ein Hersteller von Industrie-Gateways erhält an einem Freitag einen Hinweis aus einem Werk:

Freitag, 15:10 Uhr. Ein Betreiber meldet unerklärliche Konfigurationsänderungen an einem Gateway. Der Support leitet den Fall an die benannte Person weiter.
Freitag, 18:40 Uhr. Die Protokolle zeigen einen fremden Zugriff über den Webserver des Geräts. Damit liegen verlässliche Nachweise vor, die Kenntnis wird mit Uhrzeit festgehalten.
Samstag, 10:00 Uhr. Die Frühwarnung geht über die Plattform an CERT-Bund und nennt die Länder, in denen das Gateway verkauft wurde.
Sonntag, 16:00 Uhr. Die Meldung ergänzt die Art der Ausnutzung und einen Workaround.
Montag, 9:00 Uhr. Betroffene Kunden erhalten direkt einen Hinweis mit der Empfehlung, die Weboberfläche zu sperren.
Zwölf Tage später. Die korrigierte Firmware ist verfügbar. Der Abschlussbericht folgt innerhalb von 14 Tagen.

Die Meldung in Complass

In Excel und E-Mail müssen Sie Fristen, Entwürfe und Nachweise selbst zusammenhalten. In Complass liegt alles an einem Vorgang:

Vorfall aus dem Fund. Betrifft eine aktiv ausgenutzte Schwachstelle ein eigenes Produkt, legen Sie den Vorfall nach Art. 14 vorbelegt an, aus dem Fund, der Schwachstellenmeldung oder der Produktversion.
Fristen ab Kenntnis. Aus dem eingetragenen Zeitpunkt berechnet das Portal die Meldestufen. Laufende Fristen stehen als Band auf dem Dashboard.
Bewertung mit Begründung. Prüffragen führen zu einem Vorschlag je Meldeweg. Die Entscheidung treffen Sie und halten die Begründung fest.
Entwurf je Stufe. Complass bereitet die Inhalte vor, zum Kopieren je Feld oder als PDF. Die Meldung selbst geben Sie über die Meldeplattform ab, Complass übermittelt nichts.
Nutzer informieren. Sie schreiben Sicherheitshinweise, veröffentlichen sie als CSAF, senden sie an Ihre Empfängerlisten und belegen den Versand.
Nachweis. Zeitpunkt und Aktenzeichen tragen Sie je Stufe ein. Das Meldeprotokoll laden Sie als PDF herunter.

Checkliste

Produkte im Anwendungsbereich sind bekannt, auch ältere Produkte im Feld.
Eine meldende Person mit Vertretung ist benannt, auch für das Wochenende.
Beide haben ein EU-Login-Konto mit Multi-Faktor-Authentifizierung.
Das zuständige CSIRT ist bestimmt.
Kriterien für „aktiv ausgenutzt“ und „schwerwiegend“ sind schriftlich festgelegt.
Der Zeitpunkt der Kenntnis wird mit Begründung dokumentiert.
Die Liste der Länder, in denen das Produkt bereitgestellt wurde, ist aktuell.
Textbausteine und Verteiler für die Information der Nutzer liegen bereit.
Der Ablauf wurde einmal geübt.

Häufige Fragen

Gilt die Meldepflicht auch für Geräte, die schon lange im Feld sind?

Ja. Art. 14 gilt für alle Produkte im Anwendungsbereich, auch wenn sie vor dem 11.12.2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Die Anforderungen an die Schwachstellenbehandlung aus Anhang I Teil II gelten für diese Produkte dagegen nicht, solange sie nicht wesentlich geändert werden (Art. 69 Abs. 2, Rn. 210).

Zählen Wochenenden und Feiertage bei den Fristen?

Art. 14 nennt Fristen in Stunden und sieht für Wochenenden oder Feiertage keine Ausnahme vor. Planen Sie deshalb eine erreichbare Vertretung ein. Die Frist für die Frühwarnung lässt sich mit wenigen Angaben einhalten.

Gibt es Erleichterungen für kleine Unternehmen?

Ja, eine. Für Kleinst- und Kleinunternehmen gelten die Geldbußen nicht, wenn sie die 24-Stunden-Frist der Frühwarnung versäumen (Art. 64 Abs. 10). Die Pflicht selbst und die übrigen Fristen gelten für sie wie für alle anderen.

Ein Vorfall betrifft unser Produkt und unser Unternehmen. Melden wir doppelt?

Das kann sein, weil neben dem CRA auch NIS2 oder die DSGVO gelten können, jeweils mit eigenen Empfängern und Fristen. In Complass ergänzen Sie am selben Vorfall einen weiteren Meldeweg. Das Whitepaper zu den Meldepflichten stellt die Regeln nebeneinander.

Die Fristen für Ihren Fall berechnet der kostenlose Rechner, ohne Anmeldung. In einer Demo zeigen wir Ihnen den Weg vom Fund bis zum Abschlussbericht.

Demo anfragen CRA-Meldefristen berechnen

Weiterlesen

Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Die Leitlinien und FAQ der Kommission sind nicht bindend. Stand der ENISA-Angaben: 15.10.2026.

CRA-Meldepflicht für Hersteller: was Art. 14 verlangt und wie Sie melden