Die 24-Stunden-Meldepflicht nach CRA: Was Hersteller tun müssen

Die 24-Stunden-Meldepflicht gemäß CRA ist die zeitlich engste Verpflichtung im Cyber Resilience Act. Ab dem 11. September 2026 gilt sie für jeden Hersteller, der Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringt. Gemäß der Verordnung (EU) 2024/2847 beginnt mit dem Zeitpunkt, zu dem Ihnen eine aktiv ausgenutzte Schwachstelle oder ein erheblicher Sicherheitsvorfall bekannt wird, eine Frist — innerhalb von 24 Stunden ist dann eine erste Meldung an die ENISA zu erstatten. Dieser Beitrag erläutert, wann die Uhr beginnt zu laufen, welche Inhalte die Frühwarnung enthalten muss und wie ein zuverlässiger Prozess zur Einhaltung der Frist aufgebaut werden kann.

Wann die 24-Stunden-Frist beginnt

Zwei Ereignisse lösen die Frist gemäß Artikel 14 aus:

1. Aktiv ausgenutzte Schwachstelle. Ihnen ist bekannt oder es besteht begründeter Verdacht, dass eine Schwachstelle in Ihrem Produkt ausgenutzt wird. Die Uhr beginnt mit dem Zeitpunkt der Kenntnisnahme — nicht mit der Bestätigung und nicht mit der Verfügbarkeit eines Patches.
2. Erheblicher Sicherheitsvorfall. Ein Sicherheitsvorfall mit erheblicher Auswirkung auf Ihr Produkt tritt ein. Eine Frühwarnung ist innerhalb von 24 Stunden nach Kenntniserlangung zu übermitteln.

Der Begriff „begründeter Verdacht“ ist bewusst weit gefasst. Hersteller dürfen nicht auf forensische Gewissheit warten; die Pflicht besteht darin, auf der Grundlage glaubhafter Hinweise eine erste Meldung abzugeben und diese dann in den nachfolgenden 72 Stunden sowie im finalen Bericht zu ergänzen.

Was die Frühwarnung enthalten muss

Die ersten 24 Stunden stehen im Zeichen der Schnelligkeit, dennoch bedarf es inhaltlicher Substanz. Eine vertretbare Meldung umfasst:

• Was passiert ist — die Schwachstelle oder der Vorfall sowie die Art der Erkennung.
• Was betroffen ist — Produktnamen, Versionen und betroffene Komponenten.
• Schweregrad und Auswirkung — eine erste Einschätzung, auch wenn unvollständig.
• Gegenmaßnahmen — Workarounds, Konfigurationshinweise oder laufende Patch-Entwicklungen.
• Identifikatoren — CVE- oder EUVD-Referenzen, sofern vorhanden.
• Kontaktdaten — wer für die Nachbereitung der Meldung zuständig ist.

Unvollständige Informationen sind im Frühwarnstadium akzeptabel; Stillschweigen ist es nicht. Die 72-Stunden-Meldung sowie der spätere Abschlussbericht dienen explizit der Vertiefung, sobald sich das Gesamtbild klärt.

Der vollständige Zeitplan im Überblick

Die 24-Stunden-Frist ist der erste Schlag eines gestaffelten Rhythmus:

• 24 Stunden — Frühwarnung (Vorfall) und Meldung einer aktiv ausgenutzten Schwachstelle.
• 72 Stunden — Vorfallmeldung mit aktualisierter Bewertung zu Schweregrad, Auswirkung und Indikatoren.
• Abschlussbericht — Ursachenanalyse und Gegenmaßnahmen, innerhalb angemessener Zeit nach Abschluss der Bearbeitung.

Die Ausrichtung auf die 24-Stunden-Marke erzwingt die Disziplin, die die nachfolgenden Schritte handhabbar macht. Wenn ein Ereignis auch eine Meldung nach NIS2 auslöst, sieht Artikel 14 eine koordinierte Einreichung vor.

Wie die Frist zuverlässig eingehalten wird

Hersteller, die regelmäßig die 24-Stunden-Frist einhalten, betrachten dies als einen strukturierten Prozess:

• Benennen Sie einen Meldungsverantwortlichen. Jemand muss befugt sein, ohne Warten auf Gremiumsentscheidungen zu melden.
• Verwenden Sie Vorlagen. Halten Sie eine Grundstruktur bereit, damit die erste Stunde inhaltlich genutzt werden kann.
• Koppeln Sie Erkennung an den Verantwortlichen. Threat Intelligence, PSIRT und Incident Response sollten ein „aktiv ausgenutzt“-Signal direkt an den Meldenden weiterleiten.
• Üben Sie den Ablauf. Tabletop-Übungen mit beliebigem Startzeitpunkt zeigen Schwachstellen im Prozess auf.
• Dokumentieren Sie den Kenntnisstand. Führen Sie einen nachvollziehbaren Zeitstempel darüber, wann welche Informationen vorlagen — die Pflicht beginnt mit der Kenntnis, und dies muss ggf. nachgewiesen werden.

Die Konsequenzen sind real: Bei Verstößen drohen Bußgelder bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Verknüpfen Sie die Frist mit aktueller Risikosicht

Die Einhaltung der 24 Stunden hängt davon ab, schnell zu wissen, was betroffen ist. Ein gepflegtes Risikoregister bildet erkannte Schwachstellen und Vorfälle auf die betroffenen Produkte, Lieferanten und Assets ab — genau die Verknüpfung, die eine Frühwarnung benötigt. Die Überprüfung der Preise für die entsprechenden Tools stellt sicher, dass diese Fähigkeit finanziert ist und nicht erst im Vorfall als blinde Stelle erkannt wird.

Fazit

Die 24-Stunden-Meldepflicht nach CRA belohnt Hersteller, die Kenntnis als Auslöser und die Frühwarnung als Routine betrachten. Bauen Sie die Meldungskette von der Erkennung bis zur Übermittlung vor dem 11. September 2026 auf, üben Sie den Ablauf ein — dann wird die Frist zu einer operativen Standardaufgabe statt zu einem regulatorischen Krisenszenario.

Das vollständige Meldeschema finden Sie in unserem Leitfaden zu den CRA-Artikel-14-Meldepflichten für Hersteller.