CRA-Meldepflicht: 24 und 72 Stunden — so melden Sie richtig

Inhalt in Kürze

• Gemeldet wird gleichzeitig an das zuständige CSIRT und an die ENISA — über den Meldeendpunkt des CSIRT auf der einheitlichen Meldeplattform. Nicht an die ENISA, die weiterleitet.
• Die Uhr startet nicht mit dem ersten Verdacht, sondern nach einer unverzüglichen Erstbewertung.
• Drei Pflichtstufen — und ein Zwischenbericht auf Anforderung (Art. 14 Abs. 6).
• Die Sensibilitätseinschätzung in der 72-Stunden-Meldung ist Ihre einzige Möglichkeit, eine Verbreitung vor dem Patch zu verhindern.
• Gegen Kleinst- und Kleinunternehmen sollen wegen Versäumens der 24-Stunden-Frist keine Geldbußen verhängt werden.

Seit dem 11. September 2026 gilt Artikel 14 der Verordnung (EU) 2024/2847. Dieser Beitrag geht den Ablauf durch — Schritt für Schritt, mit den Stellen, an denen die verbreiteten Darstellungen danebengreifen. Den größeren Rahmen liefert der Überblick zu den CRA-Pflichten für Hersteller.

Was überhaupt meldepflichtig ist

Artikel 14 kennt zwei getrennte Meldeketten mit unterschiedlichen Pflichtinhalten:

• Aktiv ausgenutzte Schwachstellen (Abs. 1 und 2)
• Schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit des Produkts (Abs. 3 und 4)

Wer beide in ein Formular presst, produziert Meldungen mit falschen Feldern.

Ein Sicherheitsvorfall gilt nach Artikel 14 Absatz 5 als schwerwiegend, wenn er sich negativ auf die Fähigkeit des Produkts auswirkt oder auswirken kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen — oder wenn er zur Einführung oder Ausführung böswilligen Codes geführt hat oder führen kann. Das ist ein binärer Test, kein Schweregrad. Die Frage „hoch oder mittel?” beantwortet nicht, ob gemeldet werden muss.

Und ein „schwerwiegender Sicherheitsvorfall” ist nach Erwägungsgrund 68 nicht jeder Kundenvorfall, sondern eine Situation, in der ein Cybersicherheitsvorfall die Entwicklungs-, Herstellungs- oder Wartungsprozesse des Herstellers so beeinträchtigt, dass daraus ein erhöhtes Risiko für die Nutzer entstehen könnte. Der Musterfall ist der kompromittierte Update-Kanal.

Wann die Uhr startet

Das ist die für den Alltag wichtigste Frage — und die Verordnung selbst beantwortet sie nur mit „nachdem der Hersteller davon Kenntnis erlangt hat”. Die Leitlinie der Kommission C(2026) 5252 vom 27. Juli 2026 legt sie in Randnummer 213 aus:

Meldet ein Dritter — ein Kunde, eine Behörde, ein Medium, ein Forscher — einen Verdacht, muss der Hersteller den Vorgang unverzüglich bewerten. Kenntnis liegt vor, sobald er nach dieser Erstbewertung mit hinreichender Sicherheit davon ausgehen kann, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird oder ein schwerwiegender Vorfall die Sicherheit des Produkts beeinträchtigt hat. Erst dann laufen die 24 Stunden.

Praktisch heißt das: Legen Sie schriftlich fest, wer diese Erstbewertung abschließt und woran man erkennt, dass sie abgeschlossen ist. Ohne diese Festlegung streitet man im Ernstfall intern darüber, wann die Frist begonnen hat — und verliert dabei Stunden.

Wohin die Meldung geht

Hier steht in vielen Ratgebern das Gegenteil dessen, was die Verordnung sagt. Artikel 14 Absatz 1:

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle … gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA. Der Hersteller meldet diese aktiv ausgenutzte Schwachstelle über die gemäß Artikel 16 eingerichtete einheitliche Meldeplattform.”

Und Artikel 14 Absatz 7: Die Meldung wird über den Meldeendpunkt des CSIRT übermittelt, das als Koordinator des Mitgliedstaats benannt wurde, in dem der Hersteller seine Hauptniederlassung in der Union hat — und ist gleichzeitig für die ENISA zugänglich.

Weitergeleitet wird also nicht von der ENISA an Ihr CSIRT, sondern vom erstempfangenden CSIRT an die CSIRTs der übrigen betroffenen Mitgliedstaaten (Art. 16 Abs. 2). Die ENISA richtet die Plattform ein und betreibt sie; Empfängerin ist sie zugleich.

Welches CSIRT ist zuständig? Das des Mitgliedstaats, in dem die Entscheidungen zur Cybersicherheit Ihrer Produkte überwiegend getroffen werden (Art. 14 Abs. 7 UAbs. 2) — nicht das Ihres Handelsregistersitzes. Lässt sich das nicht bestimmen, gilt der Mitgliedstaat mit der höchsten Beschäftigtenzahl in der Union. Für Deutschland führt die ENISA in ihrer Liste der als Koordinatoren benannten CSIRTs (Stand 4. September 2026) CERT-Bund beim BSI.

Wer keine Hauptniederlassung in der Union hat, ist nicht draußen: Artikel 14 Absatz 7 Unterabsatz 3 enthält eine ausdrückliche Rangfolge — Bevollmächtigter, Einführer, Händler, Mitgliedstaat mit den meisten Nutzern.

Die drei Stufen — und was hineingehört

Stufe 1 — Frühwarnung, 24 Stunden. Unverzüglich, in jedem Fall aber binnen 24 Stunden nach Kenntnisnahme. Bei der Schwachstelle verlangt Artikel 14 Absatz 2 Buchstabe a ausdrücklich die Angabe der Mitgliedstaaten, in deren Hoheitsgebiet das Produkt nach Kenntnis des Herstellers bereitgestellt wurde. Beim Vorfall ist nach Absatz 4 Buchstabe a zumindest anzugeben, ob der Verdacht besteht, dass er auf rechtswidrige oder böswillige Handlungen zurückzuführen ist; die Mitgliedstaaten kommen gegebenenfalls dazu.

Die Primärpflicht heißt „unverzüglich”. Die 24 Stunden sind die äußerste Grenze, nicht das Ziel.

Stufe 2 — Meldung, 72 Stunden. Allgemeine Informationen, soweit verfügbar: betroffenes Produkt, allgemeine Art der Ausnutzung und der Schwachstelle, ergriffene Korrektur- oder Risikominderungsmaßnahmen sowie Maßnahmen, die Nutzer ergreifen können. Beim Vorfall tritt an die Stelle der Ausnutzungsbeschreibung eine erste Bewertung des Vorfalls.

Und hier steht das Feld, das am häufigsten fehlt.

Stufe 3 — Abschlussbericht. Bei der aktiv ausgenutzten Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht. Er enthält mindestens eine Beschreibung der Schwachstelle einschließlich Schweregrad und Auswirkungen, — falls verfügbar — Informationen über den böswilligen Akteur und Angaben zur bereitgestellten Sicherheitsaktualisierung. Beim Vorfall: innerhalb eines Monats nach Übermittlung der 72-Stunden-Meldung, mit ausführlicher Beschreibung, Angaben zur Art der Bedrohung beziehungsweise zugrunde liegenden Ursache und zu den getroffenen und laufenden Abhilfemaßnahmen.

Der vierte Fall, den fast alle übersehen

Artikel 14 Absatz 6:

„Erforderlichenfalls kann das als Koordinator benannte CSIRT, das ursprünglich die Meldung erhält, die Hersteller auffordern, einen Zwischenbericht über relevante Statusaktualisierungen … vorzulegen.”

Es sind also drei Pflichtstufen und ein Zwischenbericht auf Anforderung. Wer seinen internen Ablauf, sein Ticketsystem oder sein Nachweisdokument nur auf drei Stufen auslegt, kann diesen Fall nicht abbilden — und im Nachweis-Export fehlt er dann.

Die Sensibilitätseinschätzung: das folgenreichste Feld

In der 72-Stunden-Meldung ist gegebenenfalls anzugeben, als wie sensibel der Hersteller die gemeldeten Informationen ansieht (Art. 14 Abs. 2 Buchst. b, Abs. 4 Buchst. b). Erwägungsgrund 71 sagt dasselbe noch einmal ausdrücklich.

Warum das zählt, steht in Artikel 16 Absatz 2 Unterabsatz 2: Unter außergewöhnlichen Umständen und insbesondere auf Antrag des Herstellers kann die Verbreitung der Meldung — angesichts des angegebenen Grades der Sensibilität — aus berechtigten Gründen im Zusammenhang mit der Cybersicherheit so lange hinausgeschoben werden, wie es unbedingt erforderlich ist.

Übersetzt: Die Sensibilitätseinschätzung ist Ihre einzige Möglichkeit, eine Weiterverbreitung an die übrigen CSIRTs zu verzögern, solange kein Patch verfügbar ist. Wer das Feld leer lässt, verschenkt sie.

Nutzer informieren — und was passiert, wenn nicht

Nach Artikel 14 Absatz 8 informiert der Hersteller die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall und erforderlichenfalls über Risikominderungs- und Korrekturmaßnahmen, die sie ergreifen können — gegebenenfalls in einem strukturierten, maschinenlesbaren Format, das leicht automatisch zu verarbeiten ist.

Der zweite Satz desselben Absatzes ist das wirksamere Argument als jede Bußgeldhöhe: Versäumt es der Hersteller, die Nutzer rechtzeitig zu informieren, können die als Koordinatoren benannten CSIRTs diese Informationen den Nutzern zur Verfügung stellen, wenn sie das für verhältnismäßig und erforderlich halten.

Nach der Kommissionsleitlinie (Randnummern 219 und 220) ist die Information risikobasiert und verhältnismäßig; eine Pflicht zur Veröffentlichung folgt daraus nicht. Bei sensiblen Einsatzumgebungen darf sie auf die betroffenen Kunden beschränkt werden.

Was passiert, wenn Sie die 24 Stunden reißen

Der Bußgeldrahmen für Verstöße gegen die Artikel 13 und 14 liegt nach Artikel 64 Absatz 2 bei bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für ein mittelständisches Softwarehaus ist damit immer der Festbetrag die Obergrenze.

Wichtiger ist aber die Ausnahme, die selten mitgeliefert wird: Nach Artikel 64 Absatz 10 Buchstabe a sollen gegen Hersteller, die als Kleinst- oder Kleinunternehmen gelten, wegen Versäumens der 24-Stunden-Frist keine Geldbußen verhängt werden. Erwägungsgrund 120 hält die Mitgliedstaaten für diese Fälle ausdrücklich auch von anderweitigen finanziellen Sanktionen ab. Gegen Verwalter quelloffener Software sind Geldbußen bei jedem Verstoß ausgeschlossen.

Das heißt nicht, dass nichts passiert. Die Pflicht besteht weiter, die Meldung ist nachzuholen, und die Marktüberwachungsbehörde kann tätig werden. Nur mit „15 Millionen Euro” sollte niemandem gedroht werden, der dreißig Leute beschäftigt.

Vier Vorbereitungen, die vor dem ersten Fall stehen sollten

1. Zugang beantragen. Benennen Sie eine Hauptansprechperson und mindestens eine Vertretung für den Zugang zur ENISA-Plattform. Das dauert länger als 24 Stunden.
2. Auslösezeitpunkt definieren. Wer schließt die Erstbewertung ab, woran erkennt man das, und wo wird es festgehalten?
3. Mitgliedstaaten je Produkt führen. Ohne diese Liste lässt sich die Frühwarnung nicht befüllen — und sie steuert, wer die Meldung sonst noch bekommt.
4. Einmal trocken üben. Ein Tabletop-Durchlauf mit einem fiktiven Fund zeigt in zwei Stunden, wo der Ablauf hakt. Der echte Fall ist der falsche Zeitpunkt dafür.

Ob der CRA überhaupt für Sie gilt, klärt der kostenlose Hersteller-Check in wenigen Minuten. Wenn Ihr Unternehmen zusätzlich unter NIS2 fällt, gelten dort eigene Meldefristen an eine andere Stelle — dazu Hugo NIS2.

Häufige Fragen (FAQ)

An wen geht die Meldung nach Artikel 14 CRA?

Gleichzeitig an das für Sie zuständige, als Koordinator benannte CSIRT und an die ENISA — über den Meldeendpunkt Ihres CSIRT auf der von der ENISA betriebenen einheitlichen Meldeplattform (Artikel 14 Absatz 1 und 7, Artikel 16 Absatz 1). Weitergeleitet wird vom erstempfangenden CSIRT an die CSIRTs der übrigen betroffenen Mitgliedstaaten. Zuständige Meldestelle in Deutschland ist CERT-Bund beim BSI.

Wann startet die 24-Stunden-Frist?

Nicht mit dem ersten Verdacht. Nach der Kommissionsleitlinie C(2026) 5252, Randnummer 213, muss ein gemeldeter Verdacht unverzüglich bewertet werden; Kenntnis liegt vor, sobald der Hersteller nach dieser Erstbewertung mit hinreichender Sicherheit davon ausgehen kann, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird oder ein schwerwiegender Vorfall die Produktsicherheit beeinträchtigt hat. Erst dann laufen die 24 Stunden.

Sind es wirklich nur drei Meldestufen?

Drei Pflichtstufen — und ein Zwischenbericht, wenn das als Koordinator benannte CSIRT ihn anfordert (Artikel 14 Absatz 6). Wer seinen Ablauf nur auf 24 Stunden, 72 Stunden und Abschlussbericht auslegt, hat diesen vierten Fall nicht abgedeckt.

Muss jede Schwachstelle gemeldet werden?

Nein. Meldepflichtig sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit des Produkts. Erwägungsgrund 68 nimmt Schwachstellen aus, die ohne böswillige Absicht bei gutgläubigen Tests, Untersuchungen, Korrekturen oder Offenlegungen gefunden werden. Eine Schwachstelle in einer Drittkomponente ist nur zu melden, wenn sie im eigenen Produkt ausgenutzt wurde.

Was ist die Sensibilitätseinschätzung?

Eine Angabe in der 72-Stunden-Meldung dazu, für wie sensibel Sie die gemeldeten Informationen halten (Artikel 14 Absatz 2 Buchstabe b und Absatz 4 Buchstabe b). Sie ist der Anknüpfungspunkt dafür, dass die Verbreitung der Meldung an die übrigen CSIRTs unter außergewöhnlichen Umständen so lange hinausgeschoben wird, wie es unbedingt erforderlich ist (Artikel 16 Absatz 2). Ohne sie geben Sie diese Möglichkeit aus der Hand.