Cyber Resilience Act Meldung

Ihre Vorfalldaten verlassen Ihren Rechner nicht

Kein Sicherheitsverantwortlicher tippt Einzelheiten einer aktiv ausgenutzten Schwachstelle in ein fremdes System. Deshalb gibt es hier keinen Server, der Vorfalldaten entgegennimmt: Alle Rechner, Assistenten und PDF-Erzeuger laufen in Ihrem Browser.

0 Byte

Vorfalldaten auf unseren Servern. Alles rechnet im Browser.

22

verlinkte Fundstellen der Verordnung, jede Aussage belegt.

4

Werkzeuge, alle kostenlos und ohne Anmeldung nutzbar.

0 EUR

für die vier Werkzeuge. Das Meldekit kostet 29 EUR pro erstellter Akte.

So bereiten Sie sich in drei Schritten vor

Die ersten beiden Schritte erledigen Sie einmal, an einem Nachmittag. Der dritte läuft erst, wenn wirklich etwas passiert ist.

1. 1

   Prüfen, ob die Meldepflicht Sie trifft

   Fünf Fragen zu Produkt, Ausnahmen und Marktrolle. Das Ergebnis nennt die Artikel, auf denen es beruht, und lässt sich ausdrucken.

   Betroffenheit prüfen

2. 2

   Zuständiges CSIRT bestimmen und aufschreiben

   Drei Fragen. Das ist die Angabe, über der im Ernstfall die meiste Zeit verloren geht, und die einzige, die sich vollständig vorab klären lässt.

   CSIRT bestimmen

3. 3

   Im Ernstfall: Fristen rechnen und Fallakte erzeugen

   Der Assistent führt durch Triage, Fristen und Meldetexte und gibt am Ende eine unterschriftsreife Akte als PDF aus.

   Meldeassistent öffnen

Wen trifft die CRA-Meldepflicht?

Die Meldepflicht nach Artikel 14 CRA trifft ausschließlich Hersteller von Produkten mit digitalen Elementen, also Software und Hardware, deren vorgesehene oder vorhersehbare Verwendung eine Datenverbindung einschließt. Sie gilt ab dem 11. September 2026 und erfasst auch Produkte, die längst am Markt sind und nie eine CE-Kennzeichnung getragen haben.

Anwendungsbereich im Einzelnen: SaaS, Open Source, Marktrollen

GrundlageArt. 3 Nr. 1 CRAArt. 14 Abs. 1 CRAArt. 69 Abs. 3 CRA

Welche Meldefristen gelten nach Artikel 14?

Es gelten drei Fristen: Frühwarnung binnen 24 Stunden ab Kenntnis, ausführliche Meldung binnen 72 Stunden ab Kenntnis und ein Abschlussbericht. Der Abschluss ist bei einer aktiv ausgenutzten Schwachstelle 14 Tage nach Verfügbarkeit der Abhilfe fällig, bei einem schwerwiegenden Sicherheitsvorfall einen Monat nach der 72-Stunden-Meldung.

Beide Meldestränge mit durchgerechnetem Beispiel

Worauf sich das stützt: Artikel 14 der Verordnung (EU) 2024/2847

Alle Angaben auf dieser Seite beruhen auf dem Cyber Resilience Act, der Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024. Hier stehen die Vorschriften, die die Fristen tragen, im amtlichen deutschen Wortlaut.

Häufige Fragen zur CRA-Meldepflicht

Ab wann gilt die Meldepflicht nach dem Cyber Resilience Act?

Artikel 14 der Verordnung (EU) 2024/2847 ist ab dem 11. September 2026 anwendbar. Ab diesem Tag muss ein Hersteller eine aktiv ausgenutzte Schwachstelle und einen schwerwiegenden Sicherheitsvorfall binnen 24 Stunden als Frühwarnung melden. Der übrige Teil der Verordnung mit CE-Kennzeichnung, Konformitätsbewertung und technischer Dokumentation gilt ab dem 11. Dezember 2027.

Gilt die Meldepflicht auch für Produkte, die wir seit Jahren verkaufen?

Ja. Die Übergangsregel des Artikels 69 nimmt Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, grundsätzlich von der Verordnung aus, macht für die Meldepflichten des Artikels 14 aber ausdrücklich eine Ausnahme. Ein Hersteller, der seit 2019 eine Software verkauft und sich mit CE-Kennzeichnung nie befasst hat, ist ab dem 11. September 2026 trotzdem meldepflichtig.

Fällt Software as a Service unter den Cyber Resilience Act?

Reines SaaS fällt nicht darunter, solange die Software ausschließlich beim Anbieter läuft und der Nutzer sie nur über Browser oder Schnittstelle erreicht. Sobald etwas ausgeliefert wird, das der Nutzer installiert, also ein Desktop-Client, eine mobile App, ein Agent oder eine Browser-Erweiterung, ist diese Komponente ein Produkt mit digitalen Elementen und damit erfasst. Ebenso erfasst sind Fernverarbeitungslösungen, die integraler Bestandteil eines vernetzten Produkts sind. Für reines SaaS können unabhängig davon die Meldepflichten aus der NIS-2-Umsetzung gelten.

An wen wird die Meldung geschickt?

Die Meldung geht gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA. Eingereicht wird sie nicht bei beiden getrennt, sondern einmal über die einheitliche Meldeplattform, die die ENISA nach Artikel 16 errichtet. Welches CSIRT zuständig ist, richtet sich nach dem Mitgliedstaat, in dem die Entscheidungen über die Cybersicherheit der Produkte überwiegend getroffen werden. Ohne Niederlassung in der Union greift eine vierstufige Kaskade über Bevollmächtigten, Einführer, Händler und Zahl der Nutzer.

Wann ist ein Sicherheitsvorfall schwer im Sinne des Artikels 14?

Wenn er die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder wenn er zur Einschleusung oder Ausführung von Schadcode geführt hat oder führen kann. Beide Tatbestände stehen in der Möglichkeitsform und sind mit oder verbunden. Einer genügt. Die praktische Prüffrage lautet deshalb nicht, ob der Vorfall schlimm ist, sondern ob er das werden kann.

Wie hoch sind die Bußgelder bei einem Verstoß gegen die Meldepflicht?

Der Rahmen liegt bei bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt. Von der Meldepflicht selbst befreit sie das nicht.