24 Stunden Meldefrist, ohne Testlauf zuvor

Eine Frist, die nicht auf ihr eigenes Werkzeug wartet

Ab dem 11. September 2026 muss jeder Hersteller, der ein Produkt mit digitalen Elementen in der EU verkauft, eine aktiv ausgenutzte Schwachstelle nach Artikel 14 des Cyber Resilience Act binnen 24 Stunden ab Kenntnisnahme melden. Die eigene Leitlinie der Europäischen Kommission von März 2026 legt die Schwelle für Kenntnisnahme auf eine hinreichende Gewissheit fest, dass eine Ausnutzung stattfindet, nicht auf eine abgeschlossene forensische Untersuchung. Eine laufende Untersuchung ist, in den eigenen Worten der Kommission, grundsätzlich keine Entschuldigung für eine verpasste 24-Stunden-Frist.

Der einzige Meldekanal, die ENISA Single Reporting Platform, wird erst am selben Tag voll funktionsfähig, an dem die Pflicht in Kraft tritt. Zum 29. Juni 2026 war die Plattform laut dem Compliance-Tracker cyberresilienceact.eu noch nicht live, und ENISAs eigenes FAQ zum Werkzeug beschreibt vor dem Start durchgeführte Nutzer- und Sicherheitstests, mit weiterer Prüfung und Nachtests bei Bedarf danach. Eine gesetzliche Frist ohne jeden Spielraum trifft an genau demselben Tag auf ein Meldewerkzeug ohne jede Erfahrung mit echtem Meldeverkehr.

Die Reichweite geht über neue Produkte hinaus

Die Pflicht reicht weit über neu zertifizierte EU-Hardware hinaus. Eine Rechtsanalyse von Crowell and Moring bestätigt, dass der Cyber Resilience Act für Hersteller innerhalb und außerhalb der EU gilt, die vernetzte Produkte auf dem EU-Markt anbieten, und dass Hersteller außerhalb der EU der Verordnung einschließlich der Meldepflicht nach Artikel 14 in vollem Umfang unterliegen. Das betrifft auch britische Hersteller, die in die EU exportieren: Das eigene britische Produktsicherheitsrecht läuft getrennt, befreit einen in Großbritannien gefertigten Router oder eine Kamera für EU-Kunden aber nicht von dieser Frist. Die Pflicht fragt auch nicht nach dem Alter des Produkts, sondern nur danach, ob es heute noch an EU-Käufer verkauft wird.

Die erfasste Kategorie ist bewusst breit: Smart-Home-Geräte, industrielle Steuerungssysteme, Betriebssysteme, Router, Firewalls, Passwortmanager, VPN-Software, Wearables mit Gesundheitsüberwachung und Smart-Meter-Gateways gelten alle als Produkte mit digitalen Elementen. Sektorregulierte Produkte wie Medizingeräte, Luftfahrtausrüstung und Kraftfahrzeuge sind ausgenommen, weil sie bereits eigenen Meldepflichten unterliegen, ebenso nicht-kommerzielle Open-Source-Software, eigenständige SaaS-Angebote und Produkte, die ausschließlich für die nationale Verteidigung gebaut werden. Alles andere, was sich mit einem Netzwerk verbindet und EU-Kunden erreicht, fällt darunter, ob der Hersteller nun in München oder Michigan sitzt.

Die Uhr, in Stunden und in Euro

Es gilt jeweils der höhere der beiden Werte, und die Behörden haben neben dem Bußgeld einen zweiten Hebel: Sie können Korrekturmaßnahmen anordnen, den Verkauf eines nicht konformen Produkts einschränken oder verbieten, oder einen Rückruf vom EU-Markt erzwingen. Für einen Hersteller mit EU-Umsätzen im Milliardenbereich ist die Umsatzprozent-Klausel, nicht die feste Eurosumme, die Zahl, die wirklich schmerzt.

Was das Risiko vor dem 11. September senkt

Die Vorbereitungsempfehlung von Crowell and Moring fasst die Liste vor der Frist auf wenige konkrete Schritte zusammen: das zuständige nationale CSIRT identifizieren, das die Meldungen des Herstellers entgegennimmt, eine kontinuierliche Überwachung über Threat-Intelligence-Feeds und Schwachstellendatenbanken einrichten, vertraglich festlegen, dass vorgelagerte Komponentenlieferanten bekannte und aktiv ausgenutzte Schwachstellen melden müssen, und den CRA-Zeitplan in bestehende Notfallpläne für NIS2 und die DSGVO einbinden, damit IT-Sicherheit, Recht, Produkt und Kommunikation bereits wissen, wer meldeberechtigt ist. Eine aktuelle Software-Stückliste steht auf derselben Liste, denn ein Hersteller, der nicht zuordnen kann, welches Produkt welche Komponente nutzt, kann die Betroffenheit nicht binnen 24 Stunden einschätzen. In Deutschland ist das zuständige nationale CSIRT CERT-Bund beim Bundesamt für Sicherheit in der Informationstechnik.

Ein Detail steckt unter all diesen Empfehlungen und belohnt frühes Handeln statt Handeln erst am Stichtag. ENISAs eigene Leitlinie vom 14. August 2026 begrenzt unverifizierte Konten auf der Single Reporting Platform auf 10 Meldungen, und eine Kontoverifizierung geschieht nicht sofort. Ein Hersteller, der die Registrierung bis zum ersten echten Vorfall aufschiebt, macht ein neues, unverifiziertes, API-loses Webportal zum einzigen Kanal für eine rechtlich bindende 24-Stunden-Frist. Das Konto jetzt zu registrieren und zu verifizieren, solange es noch nichts zu melden gibt, ist der eine Schritt, der nichts kostet und eine vollständig vermeidbare Fehlerquelle beseitigt.

Servola Journal

Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.

Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.

Weiterlesen: Chromes nächster Zero-Day geht nach Brüssel  |  Europa prüft KI-Spitzenmodelle jetzt selbst