Symbolbild einer Elektronikplatine, kein Nachweis einer betroffenen Produktserie. Bildquelle Pexels, Foto 6636458, CC0-Lizenz.

Eine aktiv ausgenutzte Schwachstelle im eigenen Produkt lässt Herstellern seit heute höchstens 24 Stunden für die erste Behördenmeldung. Die technische Untersuchung wird dann häufig noch laufen. Wer erst auf eine vollständige Ursachenanalyse wartet, riskiert ein Fristversäumnis. Zum Start der neuen Meldepflicht kommt eine Besonderheit hinzu, die Verantwortliche kennen sollten. Die europäische Meldeplattform berechnet ihre Erinnerungsanzeige derzeit noch anders als die Frist ab Kenntnis des Ereignisses.

Der Cyber Resilience Act, kurz CRA, ist die EU-Verordnung für die Cybersicherheit von Produkten mit digitalen Elementen. Sie soll Sicherheitsanforderungen an Hard- und Software sowie den Umgang mit Schwachstellen verbindlich regeln. Während die meisten Anforderungen erst im Dezember 2027 greifen, gelten die Meldepflichten für Hersteller bereits seit dem 11. September 2026. Diesen vorgezogenen Beginn bestätigen das Bundesamt für Sicherheit in der Informationstechnik und die europäische Cybersicherheitsagentur ENISA.

Welche Ereignisse jetzt eine Meldung auslösen

Erfasst sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit der betroffenen Produkte beeinträchtigen. Eine lediglich entdeckte, bislang nicht aktiv ausgenutzte Lücke fällt nicht allein deshalb unter diese verpflichtende Schwachstellenmeldung. Auch ist der CRA keine pauschale neue 24-Stunden-Meldepflicht für jedes Unternehmen, das Software verwendet. Der heutige Start richtet sich an Hersteller von Produkten im Anwendungsbereich der Verordnung.

Wie heise/iX berichtet, gehören dazu neben vernetzten Geräten auch Softwareprodukte. Für reine Anwenderunternehmen ist deshalb zunächst die eigene Rolle zu klären. Wer selbst entwickelt oder Produkte unter eigener Marke vertreibt, sollte die Herstellerpflichten prüfen. Für den Datenschutz ist der Schritt relevant, weil ausgenutzte Produktschwachstellen Zugriffe auf personenbezogene Daten ermöglichen können. Eine CRA-Meldung setzt jedoch nicht voraus, dass bereits ein konkreter Abfluss solcher Daten nachgewiesen wurde.

Die Single Reporting Platform der ENISA nimmt die Meldungen entgegen und führt die Informationen den zuständigen Stellen zu. Laut ENISA müssen Hersteller den zuständigen nationalen Koordinator auswählen. Unternehmen sollten daher vor dem Ernstfall festlegen, wer sie auf der Plattform vertritt und wer bei Abwesenheit einspringt. Eine hinterlegte Zuständigkeit im Organigramm belegt noch keinen funktionierenden Zugang.

Die Erinnerung im Portal ist nicht die gesetzliche Frist

Nach den ENISA-FAQ ist die Frühwarnung ohne unangemessene Verzögerung und spätestens 24 Stunden nach Kenntnis abzugeben. Die weitere Meldung mit allgemeinen Informationen und erster Bewertung folgt ebenfalls ohne unangemessene Verzögerung, spätestens nach 72 Stunden ab Kenntnis. Die zweite Frist beginnt also nicht erst mit dem Absenden der Frühwarnung.

Für die Praxis ist FAQ 26 zum Start besonders relevant. In der aktuellen Plattformversion zeigt der Zähler für die weitere Meldung einen Termin 48 Stunden nach Einreichung der Frühwarnung an. Dadurch kann die Plattform eine Meldung bereits als überfällig anzeigen, obwohl seit Kenntnis noch keine 72 Stunden vergangen sind. ENISA will die Anzeige später auf das Feld zum tatsächlichen Kenntniszeitpunkt umstellen. Die Agentur stellt ausdrücklich klar, dass solche Zähler nur Erinnerungen unterstützen und die Verantwortung für die gesetzlichen Fristen nicht ersetzen.

Verantwortliche sollten den Kenntniszeitpunkt deshalb im eigenen Vorgang dokumentieren und beide Fristen daraus ableiten. Die Plattformanzeige bleibt eine zusätzliche Hilfe. Für Abschlussberichte gelten unterschiedliche Anknüpfungspunkte. Bei aktiv ausgenutzten Schwachstellen nennt ENISA spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme. Bei schwerwiegenden Vorfällen ist es ein Monat nach der 72-Stunden-Meldung. Für den Abschlussbericht zu Schwachstellen ist derzeit noch kein entsprechender Plattformzähler umgesetzt.

Ein Meldeweg muss auch bei unvollständiger Analyse funktionieren

Als betriebliche Vorbereitung empfiehlt sich ein kurzer Durchlauf mit einem angenommenen Vorfall, ohne eine Testmeldung als echtes Ereignis einzureichen. Ausgangspunkt ist ein Hinweis auf aktive Ausnutzung. Die zuständige Person muss feststellen können, welche eigenen Produkte und Versionen betroffen sein können, wer die verfügbaren Erkenntnisse bewertet und wer die erste Meldung tatsächlich abgibt. Offene Fragen werden im Vorgang erkennbar festgehalten, statt sie durch Vermutungen zu schließen.

Gerade die Trennung von gesicherten Erkenntnissen und laufender Untersuchung verhindert, dass ein Freigabeprozess auf einen Bericht wartet, der innerhalb der ersten Frist noch gar nicht vollständig sein kann. Produktverantwortliche sollten außerdem nachhalten, wann eine Abhilfemaßnahme verfügbar wird. Dieser Zeitpunkt bestimmt bei der ausgenutzten Schwachstelle die Frist für den Abschlussbericht. Für den heutigen Start zählt damit ein praktisch nutzbarer Meldeweg mit erreichbarer Vertretung und nachvollziehbarer Zeitrechnung.

Stand: 11.09.2026. Die beschriebene Zählerlogik ist der an diesem Tag geprüfte Stand der ENISA-FAQ und kann sich mit einer neuen Plattformversion ändern.