normakte / CRA-Meldepflicht
Die Meldepflicht des CRA gilt seit dem 11. September 2026. Zwei Meldewege, vier Fristen, und eine Pflicht gegenüber den Nutzern, die getrennt davon läuft.
Neu: Meldungen laufen über die CRA-Plattform der ENISA →
Der CRA für alle Produkte mit digitalen Elementen im Überblick →
Alle Pflichten des CRA für Maschinenhersteller im Überblick
Was ist eingetreten?
Nicht meldepflichtig sind Schwachstellen, die ohne böse Absicht zu Prüf-, Untersuchungs-, Behebungs- oder Offenlegungszwecken in gutem Glauben gefunden wurden (Erwägungsgrund 68). Freiwillige Meldungen sieht Art. 15 vor – ob die Plattform sie bereits annimmt, prüfen Sie auf der Website der ENISA..
Die Kommission konkretisiert die Meldepflichten durch delegierte Rechtsakte, und die Liste der als Koordinatoren benannten CSIRTs wird fortgeschrieben. Wir schreiben Ihnen, wenn sich daran etwas ändert.
Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, danach ein Abschlussbericht.
Der Hersteller – auch für Produkte, die schon vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Die Meldepflicht gilt also bereits für Produkte, die heute im Markt sind.
Über die CRA Single Reporting Platform der ENISA: Dort wählt der Hersteller das koordinierende CSIRT des Mitgliedstaats seiner Hauptniederlassung in der Union; ENISA erhält die Meldung zugleich.
Nein. Meldepflichtig sind aktiv ausgenutzte Schwachstellen. Andere Schwachstellen werden im Rahmen des Schwachstellenmanagements behoben; freiwillige Meldungen sieht Art. 15 vor.
Register, Einstufung, SBOM, Meldungen mit Fristen und Zielseite für die Nutzer – eine Testakte kostenlos bis 20.01.2027.