CRA Artikel 14 – Meldepflichten für EU-Hersteller

Wenn Sie vernetzte Hardware oder Software auf dem EU-Markt in Verkehr bringen, können Sie die Meldepflichten gemäß CRA Artikel 14 nicht länger aufschieben. Gemäß der Verordnung (EU) 2024/2847 – dem Cyber Resilience Act – müssen Hersteller aktiv ausgenutzte Schwachstellen und erhebliche Sicherheitsvorfälle über die ENISA Single Reporting Platform innerhalb gestaffelter Fristen melden, die ab dem 11. September 2026 gelten. Dieser Beitrag erläutert, was eine Meldung auslöst, welche Fristen gelten und wie Sie die Einhaltung vor dem Stichtag operationalisieren können.

Was Artikel 14 tatsächlich verlangt

Artikel 14 knüpft zwei unterschiedliche Meldepflichten an Hersteller von Produkten mit digitalen Elementen:

1. Schwachstellenmeldung. Wenn ein Hersteller weiß oder Grund zu der Annahme hat, dass eine Schwachstelle in einem seiner Produkte aktiv ausgenutzt wird, muss er diese unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntniserlangung an ENISA melden. Die Meldung muss die Schwachstelle, deren Auswirkungen sowie verfügbare Gegenmaßnahmen benennen.
2. Vorfallmeldung. Wenn ein Sicherheitsvorfall mit erheblicher Auswirkung ein Produkt betrifft, folgt der Hersteller einem gestaffelten Meldeprozess: eine frühzeitige Warnung innerhalb von 24 Stunden, eine ausführlichere Vorfallmeldung innerhalb von 72 Stunden sowie ein abschließender Bericht innerhalb angemessener Zeit nach Abschluss der Bearbeitung.

Falls derselbe Vorfall auch eine Meldung gemäß NIS2 auslöst, sieht Artikel 14 eine koordinierte Einreichung vor, um zu verhindern, dass widersprüchliche Angaben erfolgen.

Die Fristen im Überblick

Behandeln Sie diese Fristen als verbindliche Zeitvorgaben, nicht als Zielvorstellungen:

• 24 Stunden – frühzeitige Warnung bei einem erheblichen Vorfall sowie Meldung einer aktiv ausgenutzten Schwachstelle.
• 72 Stunden – Vorfallmeldung mit Aktualisierung der Schwere, Auswirkungen und Indikatoren für Kompromittierung.
• Abschließender Bericht – Ursachenanalyse und Gegenmaßnahmen, eingereicht innerhalb angemessener Zeit nach Abschluss der Vorfallbearbeitung (üblicherweise etwa ein Monat).

Das Verstreichen der 24-Stunden-Frist ist der erste Fehler, den Aufsichtsbehörden prüfen. Gestalten Sie den Prozess so, dass auch bei unvollständigen Informationen diese Frist eingehalten wird.

Was eine konforme Meldung enthalten muss

Eine vertretbare Meldung gemäß Artikel 14 umfasst:

• Die betroffenen Produkte und Versionen.
• Eine Beschreibung der Schwachstelle oder des Vorfalls sowie deren Entdeckung.
• Die Auswirkungen auf Nutzer, andere Produkte und abhängige Systeme.
• Die bereits verfügbaren oder in Arbeit befindlichen Gegenmaßnahmen (Patches, Workarounds, Konfigurationshinweise).
• Querverweise auf CVE- oder EUVD-Kennungen, sofern vorhanden.
• Eine Kontaktmöglichkeit für Rückfragen.

So bereiten Sie sich auf die Meldung vor

Meldereife ist ein Prozess, kein Dokument. Hersteller, die zuverlässig die 24-Stunden-Frist einhalten, tun fünf Dinge:

1. Benennen Sie einen Meldungsverantwortlichen. Legen Sie klar fest, wer die Entscheidung zur Meldung sowie die Einreichung selbst verantwortet.
2. Erstellen Sie Musterberichte. Halten Sie Vorlagen für beide Szenarien (Schwachstelle und Vorfall) bereit, damit die ersten 24 Stunden inhaltlich genutzt werden können.
3. Verknüpfen Sie Erkennung und Meldung. Integrieren Sie Schwachstellen-Intelligence, PSIRT und Incident Response so, dass ein Signal zu einer „aktiv ausgenutzten“ Schwachstelle automatisch den Meldungsverantwortlichen erreicht.
4. Üben Sie den Ablauf. Führen Sie eine Tischübung durch, bei der die Uhr zu einem beliebigen Zeitpunkt startet und mit einer eingereichten ENISA-Meldung endet.
5. Dokumentieren Sie Erkenntnisse. Führen Sie eine nachvollziehbare Aufzeichnung darüber, was Sie wann wussten, um den 24-Stunden-Auslöser vertretbar zu machen.

Die Sanktionslogik verschärft den Anreiz: Bei Nichtbefolgung können Bußgelder bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) drohen.

Wo der Meldungsprozess auf Produktrisiken trifft

Ein Meldungsprozess funktioniert nur, wenn Sie das Risiko, das er abbildet, erkennen können. Ein aktuelles Risikoregister ermöglicht es Ihnen, erkannte Schwachstellen und Vorfälle mit den betroffenen Produkten, Lieferanten und Assets zu verknüpfen – genau die Verknüpfung, die Artikel 14 fordert. Ergänzen Sie dies um eine klare Übersicht über die Preise der Tools, die das Register aktuell halten, damit die Meldereife eine eigene Budgetposition erhält und nicht erst im Vorfall entdeckt wird.

Fazit

Die Meldungspflichten gemäß CRA Artikel 14 machen die Offenlegung von Schwachstellen und Sicherheitsvorfällen von einer freiwilligen Maßnahme zu einer regulierten, zeitgesteuerten Verpflichtung. Hersteller, die Bußgelder vermeiden möchten, behandeln die 24-Stunden-Frühwarnung als entscheidenden Designparameter und bauen die Meldungskette von der Erkennung bis zur Einreichung vor dem 11. September 2026 auf – nicht danach.

Eine umfassende Checkliste zu Geltungsbereich, Anhang I, SBOMs und Konformität finden Sie in unserem Begleitartikel zum Cyber Resilience Act Compliance-Checkliste für Hersteller.