EU-Meldepflicht: Nur 24 Stunden ab 11. September

Ab dem 11. September Läuft Eine 24-Stunden-Uhr in der Gesamten EU

Der Cyber Resilience Act der EU erreicht am 11. September 2026 seine erste wirksame Meldefrist. Ab diesem Datum muss jeder Hersteller, der ein Produkt mit digitalen Elementen auf den EU-Markt bringt, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach einer strikten Frist melden, nicht nach bestem Bemühen. Die Meldeseite der Europäischen Kommission stellt klar, dass die Pflicht Hardware und Software gleichermaßen betrifft und sich auch auf ältere oder nicht mehr unterstützte Produkte erstreckt, die weiterhin auf dem EU-Markt erhältlich sind.

Die Berichterstattung von Börse Express zum Start bestätigt sowohl das Datum als auch den Umfang und beschreibt den 11. September als den Zeitpunkt, an dem die ersten konkreten Meldepflichten des Cyber Resilience Act durchsetzbar werden statt nur theoretisch zu bestehen. Ein Hersteller, der den CRA bislang als künftiges Compliance-Projekt behandelt hat, hat nun nur noch wenige Tage, um einen tatsächlichen Meldeprozess fertigzustellen.

Drei Fristen Folgen Auf Die Erste Warnung

Die Analyse von Freshfields legt die genaue Abfolge dar, die ein Hersteller einhalten muss, sobald er einen "hinreichenden Grad an Gewissheit" erreicht, dass ein Produkt eine aktiv ausgenutzte Schwachstelle aufweist oder einen schwerwiegenden Vorfall erlitten hat. Eine Frühwarnung ist binnen 24 Stunden fällig, eine vollständige Meldung binnen 72 Stunden, und ein Abschlussbericht binnen 14 Tagen bei einer Schwachstelle oder binnen einem Monat bei einem Vorfall. Keine dieser Fristen pausiert am Wochenende oder an einem Feiertag, sodass eine am Freitagabend entdeckte Schwachstelle noch bis Samstagabend eine Frühwarnung erfordert.

Das knappe erste Zeitfenster ist der operative Stachel dieses Aufbaus. 24 Stunden lassen einem Hersteller kaum Raum zu improvisieren: Ohne eine Person, die schon vor einem Vorfall dafür bestimmt ist, die Meldung zu verfassen und einzureichen, ist diese Frist im Nachhinein kaum einzuhalten.

Die Meldungen Laufen Über ENISA und Die Nationalen CSIRTs

Der Meldeweg steht im Zentrum der neuen Pflicht. Die Meldeseite der Europäischen Kommission beschreibt eine neue, EU-weite Single Reporting Platform, aufgebaut von ENISA, als zentrale Anlaufstelle: Ein Hersteller reicht die Meldung dort ein, sie erreicht das nationale CSIRT des Herstellers, und dieses CSIRT leitet sie an ENISA sowie an die CSIRTs jedes weiteren EU-Mitgliedstaats weiter, dessen Markt das betroffene Produkt ebenfalls erreicht.

Jeder Schritt dieser Kette verläuft innerhalb der EU-Institutionen, vom nationalen CSIRT, das die Meldung zuerst erhält, bis zur koordinierenden Rolle von ENISA über alle Mitgliedstaaten hinweg. Ein Hersteller, der dasselbe Produkt in mehreren EU-Ländern verkauft, kann damit rechnen, dass seine Meldung mehrere nationale CSIRTs durchläuft statt nur eine einzige zentrale Behörde.

Ein Paralleles System, Aufgebaut Innerhalb der EU

Diese Konstruktion ist die eigentliche Geschichte hinter dem 11. September. Seit Jahrzehnten fungiert das von der US-Regierung betriebene CVE- und NVD-System als de facto globales Verzeichnis dessen, was wann verwundbar ist, das Verzeichnis, das Sicherheitsteams überall zuerst prüfen, unabhängig davon, wo ein Produkt hergestellt oder verkauft wird. Die Single Reporting Platform speist dieses US-System nicht; sie ist eine eigenständige, von ENISA aufgebaute Leitung, die ihren eigenen Datensatz innerhalb des CSIRT-Netzwerks der EU erzeugt.

Das macht das Meldesystem des Cyber Resilience Act zu einem Stück digitalsouveräner Infrastruktur mit angehängter Compliance-Frist: Es verschafft der EU die institutionelle Fähigkeit, aus eigener Autorität und innerhalb eigener Systeme zu wissen, was bei Produkten auf ihrem Markt verwundbar ist, unabhängig davon, ob und wann dieselbe Information je eine amerikanische Datenbank erreicht.

Bei Jedem Vorfall Laufen Jetzt Zwei Uhren

Jeder Anbieter von Hardware oder Software auf dem EU- oder UK-Markt trägt bei ein und demselben Fund nun zwei getrennte Pflichten. Die eine ist der Meldetakt, den die Branche über die letzten zweieinhalb Jahrzehnte rund um das US-zentrierte CVE- und NVD-Ökosystem aufgebaut hat. Die andere ist die 24-Stunden-Frühwarnuhr der EU, strenger als übliche Branchenpraxis und gleichgültig gegenüber Zeitzonen, Wochenenden oder der Frage, welches Team gerade Bereitschaft hat.

Die Analyse von Freshfields weist auf die praktische Belastung hin, die daraus entsteht: Die knappen Fristen verlangen einen im Voraus aufgebauten und eingeübten Eskalationsprozess, und sie kommen zu Meldepflichten hinzu, die viele derselben Unternehmen bereits unter NIS2 und der DSGVO tragen. Das Verpassen der 24-Stunden-Frist der EU ist damit ein eigenständiger Compliance-Verstoß in der EU, getrennt von und zusätzlich zu der Frage, wie zügig ein Unternehmen denselben Vorfall anderswo meldet.

Servola Journal

Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.

Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.

Weiterlesen: Europas offene KI läuft nun durch eine einzige Firma  |  Berlins Neues KI-Institut Hat Noch Keine Zähne