Eine Schwachstelle in Ihrem Produkt wird ausgenutzt — und ab September läuft eine 24-Stunden-Uhr
Ein Kunde, ein Sicherheitsforscher oder Ihr eigenes Team meldet eine Schwachstelle in einem Produkt, das Sie ausgeliefert haben — und es sieht so aus, als würde sie ausgenutzt. Ab dem 11.09.2026 verlangt der Cyber Resilience Act dann eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden. Was Sie in den ersten Stunden tun, was Sie nicht zusagen sollten und warum auch alte Produkte betroffen sind.
„Wir haben da etwas in eurer Software gefunden — und es sieht so aus, als würde das gerade ausgenutzt." Der Satz kommt selten von einer Behörde. Er kommt von der IT eines Kunden, von einem Sicherheitsforscher, aus einem Ticket, das seit zwei Tagen im falschen Postfach liegt — oder aus dem eigenen Team, freitags um halb sechs. Und dann steht man da: Man weiß weder, wie ernst es ist, noch, wem man was bis wann sagen muss.
Diese Seite sortiert genau diesen Moment. Sie beantwortet nicht, ob Ihr konkretes Produkt vom Cyber Resilience Act erfasst ist — das ist eine Rechtsfrage, die wir nicht aus zweiter Hand beantworten (warum, steht weiter unten). Sie beantwortet die Frage, die Sie in dieser Stunde stellen: Was tue ich zuerst, welche Uhr läuft, und was darf ich nicht zusagen?
11.09.2026
Ab dann gelten die Meldepflichten des Art. 14 CRA (VO (EU) 2024/2847)
24 Stunden
Frühwarnung über die Single Reporting Platform der ENISA
72 Stunden
Meldung über dieselbe Plattform
auch Bestand
Gilt ausdrücklich auch für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden
Keine Rechtsberatung – Angaben ohne Gewähr. Beträge, Fristen und Schwellen können sich ändern; im Zweifel Fachperson hinzuziehen.
Häufige Fragen
Wie viel Zeit habe ich, wenn eine Schwachstelle in meinem Produkt aktiv ausgenutzt wird?
Nach Artikel 14 des Cyber Resilience Act (Verordnung (EU) 2024/2847) gelten ab dem 11. September 2026 zwei Fristen: eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden, beides über die Single Reporting Platform der ENISA. Welche weiteren Auslöser Artikel 14 kennt und ob ein Abschlussbericht verlangt wird, haben wir nicht an der Primärquelle geprüft und sagen es deshalb hier nicht.
Betrifft mich die Meldepflicht, wenn das Produkt schon vor Jahren ausgeliefert wurde?
Sehr wahrscheinlich ja. Die Meldepflicht ab dem 11. September 2026 gilt ausdrücklich auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Genau darin liegt der Punkt, den die meisten Darstellungen des CRA auslassen: Wer heute etwas im Markt hat, ist ab September betroffen — auch ohne ein einziges neues Produkt.
Muss ich melden, wenn die Lücke in einer zugekauften Komponente steckt?
Für die Meldeuhr ist entscheidend, dass die Schwachstelle in einem Produkt steckt, das **Sie** in Verkehr gebracht haben — nicht, wer die betroffene Bibliothek geschrieben hat. Wie sich die Verantwortlichkeit zwischen den Beteiligten im Einzelnen verteilt, ist eine artikelgenaue Rechtsfrage, zu der wir hier keine Aussage treffen. Praktisch heißt das: Behandeln Sie den Fall zunächst als Ihren, und klären Sie die Zuordnung parallel.
Ersetzt die CRA-Meldung meine DSGVO-Meldung?
Nein. Das sind zwei verschiedene Rechtsakte mit verschiedenen Adressaten: Die CRA-Meldung geht über die Single Reporting Platform der ENISA und betrifft Sie als Hersteller eines Produkts. Artikel 33 DSGVO verlangt bei einer Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden eine Meldung an die zuständige Datenschutz-Aufsichtsbehörde. Ist Ihr Unternehmen zusätzlich NIS2-reguliert, kommt eine dritte Pflicht gegenüber dem BSI hinzu. Ein einzelner Vorfall kann alle drei auslösen.
Was ist der wirksamste Schritt, den ich heute — vor dem Ernstfall — tun kann?
Einen erreichbaren Eingangskanal für Schwachstellenhinweise einrichten und eine Person benennen, die dahinter sitzt. Der häufigste reale Fehler ist nicht die verpasste Frist, sondern die Meldung, die drei Wochen in einem unbeobachteten Postfach lag. Direkt danach: einmal durchspielen, wer an einem Samstagabend erreicht wird und wer entscheiden darf.
Wo sehe ich neben dem CRA die weiteren Fristen für meinen Betrieb?
Die Gesetzes-Achse steht im [Compliance-Radar](/compliance-radar): jede Lage mit Stand-Datum, nächster Frist und Fundstelle. Wenn Sie wissen wollen, welche dieser Lagen für Ihren Betrieb gilt, beantwortet der [Fristen-Wächter](/fristen-waechter) das anhand eines kurzen Profils — er führt keine eigenen Zahlen, sondern filtert genau diesen Radar.
Drei Dinge kommen in dieser Situation gleichzeitig zusammen, und alle drei sind unterschiedlich sicher:
Eine technische Behauptung über Ihr Produkt („da ist eine Lücke, und sie wird ausgenutzt"). Die stammt in aller Regel nicht von Ihnen — und ist damit erst einmal eine Behauptung, kein Befund. Sie zu prüfen kostet Zeit, die Sie in diesem Moment nicht haben.
Ein Rechtsakt mit zwei sehr kurzen Fristen. Ab dem 11. September 2026 verlangt Artikel 14 des Cyber Resilience Act — Verordnung (EU) 2024/2847 — bei einer aktiv ausgenutzten Schwachstelle eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden, jeweils über die Single Reporting Platform der ENISA.
Ein Erwartungsdruck aus der Kundenbeziehung, der von der Rechtslage unabhängig ist. Der Kunde will ein Datum für den Fix, nicht eine Auskunft über Meldepflichten. Sehr oft ist genau das der eigentliche Anlass des Anrufs.
Wer diese drei Ebenen vermischt, sagt am Ende einen Termin zu, den die Technik nicht hält — und versäumt nebenbei die Frist, die tatsächlich läuft.
02Was auf dem Spiel steht
Die 24-Stunden-Uhr startet nicht, wenn es Ihnen passt. Sie ist die kürzeste der drei einschlägigen Fristen in diesem Umfeld und die einzige, die man praktisch nur mit Vorbereitung einhält. Wer erst im Ernstfall klärt, wer entscheiden darf, hat den Großteil der Zeit schon verbraucht.
„Betrifft uns nicht, das Produkt ist von 2023" ist keine belastbare Entwarnung. Die Meldepflicht ab dem 11. September 2026 gilt ausdrücklich auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Genau das ist der Punkt, den die meisten Beiträge zum CRA nicht erwähnen.
Auch „wir liefern dafür keine Updates mehr" ist keine Abmeldung. Das Produkt wurde trotzdem in Verkehr gebracht, und daran knüpft die Pflicht an. Ob die Verordnung einen Unterstützungszeitraum kennt, nach dessen Ablauf Pflichten enden, haben wir nicht geprüft — verlassen Sie sich nicht darauf.
Eine Meldung ersetzt nicht die andere. Wenn bei demselben Vorfall personenbezogene Daten betroffen sind, steht daneben Artikel 33 DSGVO mit eigenen 72 Stunden an die Datenschutz-Aufsichtsbehörde. Und wenn Ihr Unternehmen selbst NIS2-reguliert ist, gibt es noch eine dritte Pflicht gegenüber dem BSI. Drei Rechtsakte, drei Adressaten.
03Was Sie in diesem Moment belastbar sagen können
Fünf Aussagen sind an der Primärquelle geprüft und tragen:
Aussage
Fundstelle
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847.
VO (EU) 2024/2847
Die Meldepflichten des Artikels 14 gelten ab dem 11. September 2026.
Art. 14 VO (EU) 2024/2847
Sie umfassen eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden über die Single Reporting Platform der ENISA.
Art. 14 VO (EU) 2024/2847
Sie gelten ausdrücklich auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
VO (EU) 2024/2847
Voll anwendbar (u. a. SBOM, Konformitätsbewertung) ist die Verordnung ab dem 11. Dezember 2027.
VO (EU) 2024/2847
Aussage
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847.
Fundstelle
VO (EU) 2024/2847
Aussage
Die Meldepflichten des Artikels 14 gelten ab dem 11. September 2026.
Fundstelle
Art. 14 VO (EU) 2024/2847
Aussage
Sie umfassen eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden über die Single Reporting Platform der ENISA.
Fundstelle
Art. 14 VO (EU) 2024/2847
Aussage
Sie gelten ausdrücklich auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Fundstelle
VO (EU) 2024/2847
Aussage
Voll anwendbar (u. a. SBOM, Konformitätsbewertung) ist die Verordnung ab dem 11. Dezember 2027.
Fundstelle
VO (EU) 2024/2847
Alles darüber hinaus — insbesondere ob und wie Ihr konkretes Produkt erfasst ist und ob eine Ausnahme greift — beantworten wir bewusst nicht. Diese Zurückhaltung ist im Gespräch übrigens kein Nachteil: „Diese fünf Punkte sind geprüft, den Rest kläre ich und melde mich bis morgen 12 Uhr" wirkt souveräner als eine Zahl, die der Gesprächspartner nachschlägt und nicht findet.
04Die vier Schritte, die in jedem Fall richtig sind
Eine Person benennen, die entscheidet — jetzt, nicht später. Solange niemand benannt ist, arbeiten drei Leute parallel an derselben Frage und keiner an der Meldung. Diese Person hält ab sofort eine Zeitleiste: wann kam der Hinweis herein, von wem, was war der Inhalt. Diese Zeitleiste ist später das Einzige, was den Fristbeginn nachvollziehbar macht.
Die Behauptung prüfen lassen — parallel, nicht davor. Betrifft die Lücke wirklich ein Produkt, das Sie in Verkehr gebracht haben? Steckt sie in Ihrem Code oder in einer zugekauften Komponente? Und vor allem: Gibt es Anhaltspunkte, dass sie aktiv ausgenutzt wird? Genau daran hängt der geprüfte Meldeauslöser. Wer hier eine gepflegte Software-Stückliste hat, beantwortet das in Stunden statt in Tagen.
Den Meldeweg öffnen, bevor die Prüfung fertig ist. Gemeldet wird über die Single Reporting Platform der ENISA. Wer erst mit dem fertigen Befund anfängt, den Zugang zu suchen, verliert die Stunden, die die Frist ausmachen. Der Zugang ist eine organisatorische Aufgabe, keine juristische — und man kann sie heute erledigen, lange vor dem Ernstfall.
Nichts zusagen, was ein Datum enthält, das Sie nicht geprüft haben. Der Satz für das Gespräch: „Wir haben den Hinweis um [Uhrzeit] erhalten, prüfen ihn mit Priorität und melden uns bis [Zeitpunkt] mit einer belastbaren Einschätzung. Ein Fix-Datum nenne ich Ihnen, sobald die Ursache feststeht."
Für eine strukturierte Selbsteinordnung entlang genau dieser geprüften Punkte gibt es den CRA-Betroffenheits-Check — er ersetzt keine Rechtsberatung, sortiert die Lage aber in unter einer Minute vor. Den ausführlichen Hintergrund samt der Liste offener Punkte finden Sie im CRA-Leitfaden.
05Und wenn das Produkt längst abgekündigt ist?
Die häufigste Rückfrage in dieser Lage. Die Meldepflicht ab dem 11. September 2026 gilt ausdrücklich auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden — sie knüpft also an das Inverkehrbringen an, nicht an eine laufende Produktpflege. Dass Sie keine Updates mehr liefern, ändert daran nichts. Ob die Verordnung einen Unterstützungszeitraum kennt, nach dessen Ablauf Pflichten für ein Produkt enden, ist eine Rechtsfrage, zu der wir hier keine Aussage treffen. Was wir sagen können: Verlassen Sie sich in dieser Stunde nicht darauf, sondern behandeln Sie den Fall wie einen aktiven — und lassen Sie die Frage danach klären.
06Was CERTISCAN hier tut — und was ausdrücklich nicht
Wir haben kein Modul zum Cyber Resilience Act: nichts, was Schwachstellen verwaltet, Meldefristen überwacht, eine SBOM erzeugt oder eine Meldung an die ENISA-Plattform absetzt. Dieses Problem lösen Sie derzeit organisatorisch, nicht mit Software von uns. Was wir bereitstellen: den CRA-Leitfaden, den CRA-Betroffenheits-Check, eine laufend gepflegte Fristenübersicht auf /compliance-radar und kostenlose Kurz-Checks zu anderen Pflichten auf /checks.
Achtung — keine Rechtsberatung. Dieser Text beschreibt eine typische betriebliche Situation und ordnet den geprüften Rechtsstand ein. Er ersetzt keine rechtliche Prüfung im Einzelfall — insbesondere nicht für die Frage, ob Ihr Produkt vom Cyber Resilience Act erfasst ist, welche Rolle Ihr Betrieb einnimmt und welche Meldung im konkreten Fall abzugeben ist.