CRA-Meldepflichten: Was seit dem 11. September 2026 gilt
Aktiv ausgenutzte Schwachstellen müssen jetzt binnen 24 Stunden gemeldet werden. Wir erklären die Fristen und wie Sie sie zuverlässig einhalten.
Seit dem 11. September 2026 gelten die Meldepflichten aus Artikel 14 des Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden.
Die drei Fristen
- Frühwarnung binnen 24 Stunden nach Kenntnisnahme
- Meldung binnen 72 Stunden mit ersten Details und Maßnahmen
- Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur verfügbar ist (bei Vorfällen: einen Monat nach der Meldung)
Was „Kenntnisnahme“ bedeutet
Die Uhr startet, sobald Ihr Unternehmen von der Ausnutzung erfährt – nicht erst, wenn das Security-Team das Ticket öffnet. Deshalb dokumentiert Secvisory den Zeitpunkt der Kenntnisnahme separat und begründet jede Änderung.
Unser Tipp
Legen Sie Verantwortlichkeiten jetzt fest. Wer meldet? Wer gibt frei? Wer informiert die Kunden? Ein CRA-Fall in Secvisory beantwortet diese Fragen, bevor es brennt.
