Start / Notizen

Recht · Sicherheit · DevOps

CRA-Meldepflicht ab 11. September 2026: 24 Stunden, 72 Stunden, 14 Tage

Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen melden – in drei Stufen und nach einer festen Uhr. Was das für Entwicklungs- und DevOps-Teams bedeutet.

Serge Zabolotny · 27.10.2026

• Cyber Resilience Act
• CRA
• Sicherheitslücken
• DevOps
• Compliance
• ENISA

Worum es geht

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) legt Sicherheitsanforderungen für Produkte mit digitalen Elementen fest. Als erste Pflicht greift die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle: Sie gilt seit dem 11. September 2026, also deutlich vor den übrigen Anforderungen. Die Uhr beginnt, sobald der Hersteller Kenntnis von der aktiven Ausnutzung erhält – nicht erst, wenn alles geklärt ist.

Die drei Fristen

Gemeldet wird über die zentrale Meldeplattform der ENISA, die an die nationalen CSIRTs weiterleitet. Unabhängig davon müssen betroffene Nutzer ohne unnötige Verzögerung informiert werden. Als Obergrenze für Verstöße nennt die Quelle bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Einzelheiten, etwa zur Frist bei schwerwiegenden Vorfällen, bitte im Verordnungstext nachlesen.

Wer ist betroffen?

Verpflichtet sind Hersteller von Produkten mit digitalen Elementen. Importeure und Händler melden nicht selbst an die ENISA, müssen Schwachstelleninformationen aber unverzüglich an den Hersteller weitergeben. Nach meinem Verständnis ist ein reiner Webdienst (SaaS) ohne zugehöriges Produkt nicht selbst Hersteller im Sinne des CRA; wer Software oder Geräte ausliefert, die Kunden betreiben, ist es eher. Das ist meine Lesart, keine Auskunft – im Zweifel gegen den Verordnungstext prüfen.

Was ein Entwicklungsteam vorbereiten sollte

• Eine benannte Person und einen Ablauf: Wer entscheidet binnen Stunden, ob etwas „aktiv ausgenutzt“ ist, und wer sendet die Frühwarnung?
• Überblick über die eigenen Abhängigkeiten: Ohne Liste der eingesetzten Bibliotheken (SBOM) wird die Frage „Sind wir betroffen?“ zur Suche im Dunkeln.
• Schnelles, wiederholbares Ausliefern von Fixes: Eine saubere CI/CD-Pipeline ist hier kein Luxus, sondern die Voraussetzung, um nach 14 Tagen etwas Behobenes berichten zu können.
• Kommunikationsweg zu Nutzern: Wie erreichen Sie Ihre Kunden, wenn ein Update dringend ist?

Dazu passt, was ich in den Notizen zu Zero Trust fürs Homelab und zu NIS2 für kleine IT-Unternehmen beschreibe: Wer seine Zugänge und Abhängigkeiten kennt, ist bei beiden Regelwerken im Vorteil.

Quellen und Grenzen

• CRA Compliance Hub: Artikel 14 (Sekundärquelle, Stand Oktober 2026)
• Verordnung (EU) 2024/2847 im Amtsblatt – der verbindliche Text

Weiterlesen