Artikel 14 des Cyber Resilience Act (Verordnung (EU) 2024/2847) ist der Teil, der zuerst gilt. Er legt fest, was Hersteller melden, an wen und wie schnell: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und später einen Abschlussbericht. Dieser Beitrag zeigt die Fristen so, wie die Verordnung sie zählt.

Was gemeldet werden muss

Zwei Dinge, beide über die zentrale Meldeplattform (Single Reporting Platform) der ENISA, die jede Meldung gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA übermittelt:

  • Eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt (Art. 14 Abs. 1). „Aktiv ausgenutzt“ heißt: Es gibt zuverlässige Belege dafür, dass ein böswilliger Akteur sie ohne Erlaubnis des Systeminhabers in einem System ausgenutzt hat (Art. 3 Nr. 42). Eine bei Tests in gutem Glauben gefundene Schwachstelle ist keine Pflichtmeldung (Erwägungsgrund 68).
  • Ein schwerwiegender Sicherheitsvorfall, der die Sicherheit Ihres Produkts beeinträchtigt (Art. 14 Abs. 3). Schwerwiegend ist ein Vorfall, wenn er die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen beeinträchtigt oder beeinträchtigen kann, oder wenn er dazu führt oder führen kann, dass Schadcode in das Produkt oder die Systeme der Nutzer eingeschleust oder dort ausgeführt wird (Art. 14 Abs. 5).

Wann die Frist beginnt

Alle Fristen laufen ab dem Zeitpunkt, zu dem der Hersteller Kenntnis von der ausgenutzten Schwachstelle oder dem schwerwiegenden Vorfall erlangt. Die Verordnung definiert diesen Zeitpunkt nicht. Halten Sie daher fest, wann Sie Kenntnis erlangt haben und warum.

Aktiv ausgenutzte Schwachstelle: 24 Std., 72 Std., 14 Tage

Schritt Frist Inhalt
Frühwarnung innerhalb von 24 Stunden nach Kenntnis (Art. 14 Abs. 2 Buchst. a) soweit bekannt, die Mitgliedstaaten, in denen das Produkt bereitgestellt wird
Schwachstellenmeldung innerhalb von 72 Stunden nach Kenntnis (Art. 14 Abs. 2 Buchst. b) allgemeine Angaben zum Produkt, allgemeine Art der Ausnutzung und der Schwachstelle, ergriffene Korrekturmaßnahmen und Maßnahmen, die Nutzer ergreifen können, wie sensibel die Angaben sind
Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist (Art. 14 Abs. 2 Buchst. c) Beschreibung, Schweregrad und Auswirkungen der Schwachstelle; Angaben zum böswilligen Akteur, falls verfügbar; Einzelheiten zum Sicherheitsupdate oder zur sonstigen Korrekturmaßnahme

Schwerwiegender Vorfall: 24 Std., 72 Std., ein Monat

Schritt Frist Inhalt
Frühwarnung innerhalb von 24 Stunden nach Kenntnis (Art. 14 Abs. 4 Buchst. a) mindestens, ob der Verdacht besteht, dass der Vorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde, und die betroffenen Mitgliedstaaten
Vorfallmeldung innerhalb von 72 Stunden nach Kenntnis (Art. 14 Abs. 4 Buchst. b) Art des Vorfalls, erste Bewertung, ergriffene Korrekturmaßnahmen und Maßnahmen, die Nutzer ergreifen können, wie sensibel die Angaben sind
Abschlussbericht innerhalb eines Monats nach Übermittlung der Vorfallmeldung (Art. 14 Abs. 4 Buchst. c) ausführliche Beschreibung, Schweregrad und Auswirkungen; Art der Bedrohung oder wahrscheinliche Grundursache; angewandte und laufende Abhilfemaßnahmen

Beachten Sie den Unterschied: Beim Vorfall zählt der Abschlussbericht ab der Übermittlung der 72-Stunden-Meldung, nicht ab der Verfügbarkeit einer Korrektur.

Regeln für beide Fälle

  • Die Fristen sind Obergrenzen, keine Zielwerte. Jeder Schritt ist „unverzüglich und in jedem Fall innerhalb“ der Frist fällig.
  • Die späteren Schritte entfallen, soweit die betreffenden Angaben bereits übermittelt wurden.
  • Das CSIRT kann einen Zwischenbericht anfordern (Art. 14 Abs. 6).
  • Welches CSIRT: das des Mitgliedstaats Ihrer Hauptniederlassung in der EU (Art. 14 Abs. 7). Ohne Niederlassung in der EU gilt die Reihenfolge: Bevollmächtigter, dann Einführer, dann Händler, dann der Mitgliedstaat mit den meisten Nutzern.
  • Ihre Nutzer: Sie informieren die betroffenen Nutzer, gegebenenfalls alle Nutzer, über die Schwachstelle oder den Vorfall und über mögliche Maßnahmen, gegebenenfalls in einem strukturierten, maschinenlesbaren Format (Art. 14 Abs. 8).

Seit wann und für welche Produkte

Art. 14 gilt seit dem 11. September 2026 (Art. 71 Abs. 2). Er erfasst auch Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Nach den FAQ der ENISA ist für eine Ausnutzung, von der Sie vor dem 11. September 2026 Kenntnis erlangt haben, keine rückwirkende Meldung nötig; erlangen Sie später Kenntnis, melden Sie auch dann, wenn die Schwachstelle selbst älter ist.

Kleine Unternehmen

Kleine Unternehmen sind nicht ausgenommen. Art. 64 Abs. 10 Buchst. a in der am 2. Juli 2025 berichtigten Fassung bedeutet nur, dass gegen Kleinst- und Kleinunternehmen keine Geldbuße verhängt wird, wenn sie die 24-Stunden-Frist für die Frühwarnung versäumen. Die 72-Stunden-Meldung und der Abschlussbericht bleiben Pflicht, und für mittlere Unternehmen gelten die Regeln ohnehin. Verstöße gegen Art. 14 können sonst mit bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2).

Melden auf der Plattform der ENISA

Meldungen werden unter portal.cra-srp.enisa.europa.eu mit einem persönlichen EU-Login mit Mehr-Faktor-Authentifizierung eingegeben. Sie werden vom benannten Vertreter (Assigned Representative) des Herstellers übermittelt; die Plattform ist nur auf Englisch verfügbar. Laut FAQ der ENISA gibt es in der ersten Version keine API, Meldungen werden also über die Oberfläche der Plattform eingegeben.

Ein Detail: Die Plattform der ENISA zählt ihren 72-Stunden-Zähler derzeit ab der Frühwarnung und kann deshalb einen späteren Zeitpunkt anzeigen als die Verordnung. Die Verordnung zählt ab dem Zeitpunkt der Kenntnis.

Wie Vulnio hilft

Vulnio ist für kleine Software- und Gerätehersteller gebaut:

  • Kostenlos: ein CRA-Geltungsbereich-Check und eine einmalige Prüfung einer SBOM oder Lock-Datei, die Schwachstellen, die CISA KEV oder ENISA EUVD als aktiv ausgenutzt führen, zuerst zeigt. Ein solcher Eintrag allein bedeutet nicht, dass Ihr Produkt betroffen ist: Sie prüfen, ob der verwundbare Code in Ihrem Produkt ausgeliefert und erreichbar ist.
  • Bezahlpläne ab 29 € im Monat (zzgl. MwSt.): tägliche erneute Prüfung mit E-Mail-Hinweis bei neuen ausgenutzten Treffern, ein Vorfallprotokoll, das die Fristen für Frühwarnung, 72-Stunden-Meldung und Abschlussbericht ab dem von Ihnen eingetragenen Zeitpunkt zählt, und Entwürfe für Frühwarnung, Meldung und Abschlussbericht in der Reihenfolge der Plattformfelder, dazu ein Entwurf für die Nutzerinformation auf Englisch und Deutsch.

Vulnio entscheidet nicht, ob Sie melden müssen, und übermittelt nie etwas an die ENISA. Sie prüfen die Entwürfe und übermitteln sie selbst.

Dieser Beitrag dient der Information und ist keine Rechtsberatung.

Quellen: EUR-Lex, Verordnung (EU) 2024/2847 (Cyber Resilience Act); ENISA, Seiten und FAQ zur Single Reporting Platform.