Anwendbar ab 11. September 2026
Meldepflicht nach Artikel 14 CRA
Was, wann und an wen gemeldet werden muss
Artikel 14 kennt zwei Meldeanlässe mit je drei Stufen: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach 14 Tagen oder einem Monat. Dazu kommen zwei Pflichten, die daneben laufen. Diese Seite geht alle der Reihe nach durch und nennt zu jeder Aussage die Fundstelle.
Aktualisiert am:
Der Adressat
Wen trifft die Meldepflicht?
Nur den Hersteller, auch bei Altprodukten
Artikel 14 richtet sich an den Hersteller. Einführer, Händler und Bevollmächtigte haben eigene Pflichten, aber sie melden nicht nach dieser Vorschrift. Wer ein fremdes Produkt unter eigenem Namen oder eigener Marke vertreibt, gilt selbst als Hersteller.
Der wichtigste und am häufigsten übersehene Punkt betrifft Altprodukte: Die Übergangsregel des Artikels 69 nimmt Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, grundsätzlich von der Verordnung aus, macht für die Meldepflichten des Artikels 14 aber ausdrücklich eine Ausnahme.
Ein Hersteller, der seit 2019 eine Software verkauft und sich mit CE-Kennzeichnung nie befasst hat, ist ab dem 11. September 2026 trotzdem meldepflichtig.
GrundlageArt. 14 Abs. 1 CRAArt. 69 Abs. 2 CRAArt. 69 Abs. 3 CRAArt. 71 CRA
Der Anlass
Die zwei Meldeanlässe: aktiv ausgenutzte Schwachstelle und schwerwiegender Vorfall
Der CRA kennt zwei getrennte Meldeanlässe. Sie können gleichzeitig laufen: Eine aktiv ausgenutzte Schwachstelle, die zu einem schwerwiegenden Vorfall geführt hat, ist zweimal zu melden. Die Verwechslung der beiden ist der häufigste Fehler, und zwar weil die Vorderfristen identisch sind und nur die Abschlussfrist auseinandergeht.
GrundlageArt. 14 Abs. 1 CRAArt. 14 Abs. 3 CRA
Der Ablauf
Die drei Meldestufen und was in jede hineingehört
- Frühwarnung: 24 h
- Meldung: 72 h
- Abschlussbericht: Abschluss
Beide Stränge laufen über dieselben drei Stufen. Wichtig ist, dass die 72 Stunden ab Kenntnis laufen und nicht ab der Frühwarnung: Wer die Frühwarnung nach 20 Stunden absetzt, hat für die zweite Stufe noch 52 Stunden und nicht 72.
| Stufe | Frist | Was hineingehört |
|---|---|---|
| Frühwarnung | 24 h ab Kenntnis | Sie warnt, sie erklärt nicht. Beim Schwachstellenstrang: dass eine aktiv ausgenutzte Schwachstelle vorliegt, soweit bekannt die betroffenen Mitgliedstaaten. Beim Vorfallstrang: mindestens, ob rechtswidriges oder böswilliges Handeln im Verdacht steht. |
| Meldung | 72 h ab Kenntnis | Die Verordnung zählt die Inhalte auf: Angaben zum Produkt, Art des Exploits und der Schwachstelle beziehungsweise Art des Vorfalls und erste Bewertung, ergriffene Maßnahmen, Maßnahmen für Nutzer, Einschätzung zur Sensibilität. |
| Abschlussbericht | 14 Tage oder 1 Monat | Beschreibung samt Schweregrad und Auswirkung. Beim Schwachstellenstrang zusätzlich Angaben zum ausnutzenden Akteur, soweit bekannt, und Einzelheiten zum Sicherheitsupdate. Beim Vorfallstrang die Art der Bedrohung oder wahrscheinliche Grundursache. |
GrundlageArt. 14 Abs. 2 Buchst. a CRAArt. 14 Abs. 2 Buchst. b CRAArt. 14 Abs. 2 Buchst. c CRAArt. 14 Abs. 4 Buchst. a CRAArt. 14 Abs. 4 Buchst. b CRAArt. 14 Abs. 4 Buchst. c CRA
Zwischenschritt, kostenlos
Zwischenfrage: Ist Ihr konkreter Fall überhaupt meldepflichtig?
Der Schnelltest prüft die Definition des schwerwiegenden Sicherheitsvorfalls nach Artikel 14 Abs. 5, also den Punkt, an dem in der Praxis am häufigsten falsch entschieden wird. Er ersetzt keine Bewertung des Einzelfalls, sortiert aber die Frage, die Sie sonst im Kopf drehen.
Der Empfänger
Wohin geht die Meldung?
Einmal über die Meldeplattform der ENISA
Die Meldung geht gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA. Man kontaktiert nicht beide getrennt: Eingereicht wird einmal über die einheitliche Meldeplattform, die die ENISA nach Artikel 16 errichtet, und die Plattform leitet an die betroffenen nationalen CSIRTs weiter.
Welches CSIRT zuständig ist, richtet sich nach der Hauptniederlassung, also nach dem Ort, an dem die Entscheidungen über die Cybersicherheit der Produkte überwiegend getroffen werden. Für Hersteller ohne Niederlassung in der Union greift eine vierstufige Kaskade.
Daneben
Zwei Nebenpflichten: Zwischenbericht und Unterrichtung der Nutzer
Zwischenbericht auf Anforderung
Das koordinierende CSIRT kann jederzeit einen Bericht über den Stand der Dinge anfordern. Es gibt dafür keine feste Frist und keinen festen Zeitpunkt, deshalb muss der eigene Prozess ihn vorsehen und nicht erst erfinden, wenn die Anfrage kommt.
GrundlageArt. 14 Abs. 6 CRA
Unterrichtung der Nutzer
Der Hersteller unterrichtet die betroffenen Nutzer, gegebenenfalls alle Nutzer, über den Vorfall oder die Schwachstelle und nötigenfalls über Maßnahmen zur Risikominderung. Die Verordnung nennt ein strukturiertes, maschinenlesbares Format als bevorzugten Weg. Unterbleibt die Unterrichtung, können die CSIRTs die Nutzer selbst unterrichten.
GrundlageArt. 14 Abs. 8 CRA
Die Folge
Welche Bußgelder drohen?
Bis 15 Millionen Euro oder 2,5 Prozent vom Umsatz
Sanktionsrahmen. Verstöße gegen die Meldepflichten können mit Geldbußen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt. Von der Meldepflicht selbst befreit sie das nicht, und der Schaden an der Kundenbeziehung entsteht ohnehin.
Die schärfere Folge steht an anderer Stelle: Unterrichtet der Hersteller seine Nutzer nicht rechtzeitig, dürfen die CSIRTs das selbst tun. Der Verlust der eigenen Krisenkommunikation ist für die meisten Unternehmen das teurere Ereignis.
GrundlageArt. 64 CRAArt. 14 Abs. 8 CRA
Nachgefragt
Häufige Fragen zur Meldepflicht nach Artikel 14
- Läuft die 72-Stunden-Frist ab der Frühwarnung oder ab Kenntnis?
- Ab Kenntnis. Beide Vorderfristen knüpfen an denselben Zeitpunkt an, nämlich den, zu dem der Hersteller von der aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Vorfall Kenntnis erlangt hat. Wer die Frühwarnung nach 20 Stunden absetzt, hat für die zweite Stufe nicht 72, sondern noch 52 Stunden.
- Wann muss der Abschlussbericht vorliegen?
- Das hängt vom Meldestrang ab und ist die häufigste Verwechslung. Bei der aktiv ausgenutzten Schwachstelle sind es spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist. Bei einem schwerwiegenden Sicherheitsvorfall ist es ein Monat nach der 72-Stunden-Meldung. Im ersten Fall startet ein technisches Ereignis die Frist, im zweiten eine eigene Handlung.
- Was passiert, wenn man in 24 Stunden noch fast nichts weiß?
- Die Frühwarnung ist ausdrücklich als Warnung angelegt und nicht als Bericht. Beim Schwachstellenstrang genügt die Angabe, dass eine aktiv ausgenutzte Schwachstelle vorliegt, und soweit bekannt, in welchen Mitgliedstaaten das Produkt bereitgestellt wurde. Beim Vorfallstrang genügt mindestens die Angabe, ob der Vorfall im Verdacht steht, auf rechtswidrigem oder böswilligem Handeln zu beruhen. Alles Weitere gehört in die 72-Stunden-Meldung.
- Muss der Hersteller auch seine Nutzer informieren?
- Ja. Nach Artikel 14 Abs. 8 unterrichtet der Hersteller die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall und nötigenfalls über Maßnahmen zur Risikominderung. Die Verordnung nennt ein strukturiertes, maschinenlesbares Format als bevorzugten Weg, praktisch also CSAF oder VEX. Unterbleibt die Unterrichtung, können die CSIRTs die Nutzer selbst unterrichten.
- Kann das CSIRT zwischendurch einen Bericht verlangen?
- Ja. Das koordinierende CSIRT kann jederzeit einen Bericht über den Stand der Dinge anfordern. Für diesen Zwischenbericht gibt es keine feste Frist und keinen festen Zeitpunkt. Der eigene Prozess muss ihn deshalb vorsehen, statt ihn zu erfinden, wenn die Anfrage kommt.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 14 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 14 Abs. 1 CRA
"Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA."
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 2 Buchst. a CRA
"unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 2 Buchst. b CRA
"unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 2 Buchst. c CRA
"spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, einen Abschlussbericht"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 3 CRA
"Ein Hersteller meldet jeden schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt und von dem er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA."
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Was ein Verstoß kostet
bis 15.000.000 EUR
oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Dieser Rahmen gilt für Verstöße gegen die Meldepflichten des Artikels 14. Für andere Verstöße gegen die Verordnung sieht Artikel 64 abgestufte, niedrigere Rahmen vor. Die Mitgliedstaaten legen die Sanktionen national fest.
- Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt. Von der Meldepflicht selbst befreit sie das nicht.
- Die praktisch schärfere Folge steht in Artikel 14 Abs. 8: Unterrichtet der Hersteller seine Nutzer nicht rechtzeitig, dürfen die CSIRTs das selbst tun. Was das bedeutet
Grundlage: Art. 64 CRA
Der Schritt, der sich heute erledigen lässt
Die Fristen kann man nicht vorbereiten, die Zuständigkeit schon. Bestimmen Sie einmal, welches CSIRT für Sie zuständig ist, und legen Sie die Begründung zu den Unterlagen. Im Ernstfall entfällt damit die Frage, über der sonst die meiste Zeit verloren geht.
Drei Fragen im Browser. Ergebnis ist ein Mitgliedstaat mit einem Begründungssatz zum Übernehmen, dazu die amtlichen Verzeichnisse für den Kontakt.