Zwei Meldewege, vier Fristen, und eine Pflicht gegenüber den Nutzern, die getrennt davon läuft.
11.09.2026Meldepflichten gelten
24 h / 72 hab Kenntnis
14 Tage / 1 MonatAbschlussbericht
Schritt 1
Was ist eingetreten?
Nicht meldepflichtig sind Schwachstellen, die ohne böse Absicht zu Prüf-, Untersuchungs-, Behebungs- oder Offenlegungszwecken in gutem Glauben gefunden wurden (Erwägungsgrund 68). Freiwillig melden können Sie jederzeit nach Art. 15.
Schritt 2
Wann haben Sie Kenntnis erlangt?
Schritt 3
Ihr Fristenplan
Und getrennt davon: die Nutzer unterrichten
Ab Kenntnis unterrichtet der Hersteller die betroffenen Nutzer und, sofern angebracht, alle Nutzer über die Schwachstelle oder den Vorfall sowie über Risikominderungs- und Abhilfemaßnahmen, die die Nutzer ergreifen können — sofern angebracht in einem strukturierten, maschinenlesbaren Format.
Das ist keine Teilpflicht der Behördenmeldung, sondern eine eigene Pflicht mit eigenem Adressaten. Unterrichtet der Hersteller nicht rechtzeitig, können die benannten CSIRTs die Nutzer selbst informieren.
Art. 14 Abs. 8
Wohin die Meldung geht
Gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA, über die Einheitliche Meldeplattform nach Art. 16 — und zwar über das elektronische Meldeportal des CSIRT des Mitgliedstaats Ihrer Hauptniederlassung in der Union.
Hauptniederlassung ist der Mitgliedstaat, in dem die Entscheidungen zur Cybersicherheit Ihrer Produkte überwiegend getroffen werden; lässt sich das nicht bestimmen, der Mitgliedstaat mit den meisten Beschäftigten in der Union. Ohne Niederlassung in der Union gilt diese Reihenfolge:
Mitgliedstaat des Bevollmächtigten mit den meisten Produkten
Mitgliedstaat des Einführers mit den meisten Produkten
Mitgliedstaat des Händlers mit den meisten Produkten
Mitgliedstaat mit den meisten Nutzern
Das erstmeldende CSIRT kann außerdem einen Zwischenbericht anfordern (Art. 14 Abs. 6).
Aktenvermerk
Für Ihre technische Dokumentation. Die Fristen sind eingerechnet, die Inhalte sind die Mindestangaben des Artikels.