Für Hersteller von Produkten mit digitalen Elementen hat eine wichtige Frist bereits begonnen: Seit dem 11. September 2026 gilt Artikel 14 des Cyber Resilience Act, der Verordnung (EU) 2024/2847. Er verlangt Meldungen bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen mit Auswirkungen auf die Produktsicherheit. Die umfassende Anwendung der Verordnung ab dem 11. Dezember 2027 darf damit nicht verwechselt werden.
Welche Ereignisse eine Meldung auslösen können
Die Meldepflicht erfasst nicht automatisch jeden Softwarefehler und nicht jeden allgemeinen IT-Vorfall im Unternehmen. Zunächst müssen das Produkt in den Anwendungsbereich und das Ereignis unter die gesetzlichen Voraussetzungen fallen. Bei einer aktiv ausgenutzten Schwachstelle oder einem entsprechend schwerwiegenden Vorfall ist eine zeitnahe technische und rechtliche Bewertung notwendig.
Die erste Warnung ist unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung zu übermitteln; eine weitergehende Meldung folgt grundsätzlich binnen 72 Stunden. Für aktiv ausgenutzte Schwachstellen ist der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme fällig. Bei schwerwiegenden Vorfällen gilt grundsätzlich ein Monat nach der 72-Stunden-Meldung. Die Meldungen erfolgen über die zentrale Meldeplattform der ENISA an die zuständigen Stellen.
Auch bereits vertriebene Produkte im Blick behalten
Artikel 69 Absatz 3 erstreckt die Pflichten aus Artikel 14 auch auf erfasste Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Ein Unternehmen sollte deshalb nicht nur die nächste Produktgeneration prüfen. Ausnahmen und besondere Rollen, etwa diejenige eines Open-Source-Software-Stewards, sind gesondert einzuordnen.
Beispiel: Sicherheitslücke in einer vernetzten Industriesteuerung
Ein Hersteller erfährt von seinem außereuropäischen Softwarezulieferer, dass eine Schwachstelle in einer eingebundenen Komponente aktiv ausgenutzt wird. Zunächst ist zu klären, welche eigenen Produkte und Versionen betroffen sind. Parallel müssen Zuständigkeit, Kenntniszeitpunkt, Meldeinhalt und Schutzmaßnahmen erfasst werden. Auf den nächsten regulären Projekttermin mit dem Zulieferer zu warten, kann angesichts der kurzen Fristen zu spät sein.
Was in Zuliefer- und Entwicklungsverträgen geregelt sein sollte
- Schnelle Information: Verbindliche Meldestrecken und erreichbare Ansprechpartner für Schwachstellen und Vorfälle vereinbaren; Informationen müssen rechtzeitig beim verantwortlichen Hersteller ankommen.
- Technische Unterstützung: Zugriff auf betroffene Versionsstände, Komponenteninformationen, Fehleranalysen und Abhilfemaßnahmen absichern.
- Verantwortung und Kommunikation: Festlegen, wer technische Informationen zuliefert, wer rechtlich bewertet und wer die Meldung absetzt. Vertragliche Aufgabenverteilung beseitigt keine gesetzlichen Pflichten.
- Übung und Dokumentation: Einen realistischen Vorfall durchspielen und Kenntniszeitpunkte, Entscheidungen sowie Meldungen nachvollziehbar dokumentieren.
Weitere Meldepflichten gesondert prüfen
Ein Produktvorfall kann zugleich Fragen nach Datenschutzrecht, NIS2 oder vertraglichen Benachrichtigungspflichten aufwerfen. Ob und welche weiteren Meldungen erforderlich sind, muss eigenständig bewertet werden. Für die Praxis empfiehlt sich ein gemeinsamer interner Ablauf mit getrennten Prüfungen der jeweiligen Voraussetzungen, Empfänger und Fristen.
Wir unterstützen Unternehmen bei Technologieverträgen, internationalen Softwarelieferketten und der rechtlichen Einordnung von Produktvorfällen. Anfrage zum konkreten Vorhaben stellen.
Quellen und Rechtsgrundlagen
- Europäische Kommission: CRA-Meldepflichten und Meldeplattform
- Verordnung (EU) 2024/2847, insbesondere Artikel 14, 69 und 71
- Europäische Kommission: Zeitplan der CRA-Anwendung
Stand: 2. November 2026.