Was hat sich geändert?
Artikel 14 des Cyber Resilience Act, Verordnung (EU) 2024/2847, gilt seit dem 11. September 2026. Hersteller von Produkten mit digitalen Elementen müssen jede ihnen bekannt gewordene aktiv ausgenutzte Schwachstelle und jeden schwerwiegenden Vorfall, der die Sicherheit des Produkts beeinträchtigt, über die zentrale Meldeplattform gleichzeitig dem als Koordinator benannten CSIRT und der ENISA melden.
Die Meldung erfolgt gestuft: eine Frühwarnung binnen 24 Stunden nach Kenntnisnahme, danach eine ausführliche Meldung binnen 72 Stunden. Bei aktiv ausgenutzten Schwachstellen ist spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme ein Abschlussbericht fällig.
Welche Produkte sind erfasst?
Die Meldepflicht gilt für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, auch für solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Die grundlegenden Cybersicherheitsanforderungen und die Regeln zur Konformitätsbewertung gelten vollständig ab dem 11. Dezember 2027; das Kapitel zu den Konformitätsbewertungsstellen gilt bereits seit dem 11. Juni 2026.
Was sollten Hersteller jetzt tun?
Erfassen Sie die vernetzten oder softwarehaltigen Produkte Ihres Portfolios, legen Sie fest, wer Schwachstellen und Vorfälle in welchen Fristen meldet, und richten Sie einen Prozess zur Dokumentation ein. Wer die produktbezogene Risikobewertung und die technische Dokumentation für 2027 jetzt beginnt, vermeidet den Engpass der letzten Monate.
Bewerten wir gemeinsam den CRA-Anwendungsbereich und die Vorbereitung Ihres Produkts: Zu unserem Cybersicherheitsservice
