CRA-Meldepflicht: 24 Stunden, ab Kenntnis

Seit dem 11. September 2026 müssen Hersteller vernetzter Produkte aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Die erste Frist beträgt 24 Stunden — und sie beginnt in dem Moment, in dem Sie von dem Problem erfahren, nicht wenn Sie es behoben haben.

Das gilt seit drei Tagen. Für die meisten Maschinenbauer ist das die erste Pflicht aus dem Cyber Resilience Act, die tatsächlich greift: Die übrigen Anforderungen werden erst am 11. Dezember 2027 anwendbar, Artikel 14 ist über ein Jahr vorgezogen.

Wer ist gemeint?

Hersteller eines „Produkts mit digitalen Elementen”. Nach Artikel 3 der Verordnung ist das, wer ein solches Produkt entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vertreibt. Und ein Produkt mit digitalen Elementen ist nach Artikel 2 jedes Produkt, dessen vorgesehene oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt.

Eine Maschine mit Steuerung, Fernwartungszugang oder Cloud-Anbindung, die Sie unter Ihrem Namen in der EU verkaufen, fällt darunter. Dass Sie sich nicht als Softwarehaus verstehen, ändert daran nichts.

Welche Fristen genau laufen

Artikel 14 beschreibt keine einzelne Meldung, sondern eine dreistufige Kaskade. Sie unterscheidet zwei Anlässe, und die Abschlussfristen der beiden sind nicht identisch — das wird häufig verwechselt.

Die Frühwarnung nach 24 Stunden ist bewusst knapp gehalten: Sie nennt das Ereignis und, soweit bekannt, die Mitgliedstaaten, in denen Ihr Produkt verfügbar ist. Bei einem Vorfall kommt die Angabe hinzu, ob ein rechtswidriger oder böswilliger Akt vermutet wird. Niemand erwartet nach 24 Stunden eine fertige Analyse — erwartet wird, dass Sie sich überhaupt melden.

Nach 72 Stunden folgt die inhaltliche Meldung: betroffenes Produkt, Art der Schwachstelle beziehungsweise erste Einschätzung des Vorfalls, bereits ergriffene Maßnahmen und solche, die Anwender selbst ergreifen können.

Als schwer gilt ein Vorfall nach Artikel 14 Absatz 5 dann, wenn er die Fähigkeit des Produkts beeinträchtigt, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler Daten oder Funktionen zu schützen — oder wenn er dazu geführt hat oder führen kann, dass Schadcode in das Produkt oder in die Systeme eines Anwenders gelangt.

Zusätzlich verlangt Artikel 14 Absatz 8, dass Sie die betroffenen Anwender selbst informieren, nach Möglichkeit maschinenlesbar. Die Meldung an die Behörde ersetzt die Information Ihrer Kunden nicht.

Auch für Maschinen, die längst im Feld stehen

Das ist der Punkt, der in der Praxis am meisten Arbeit macht. Die übrigen CRA-Anforderungen gelten nur für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht oder danach wesentlich verändert werden. Für Artikel 14 gilt das ausdrücklich nicht: Nach Artikel 69 Absatz 3 erfasst die Meldepflicht alle Produkte im Anwendungsbereich, auch die, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.

Im Klartext: Ihre installierte Basis ist ab sofort meldepflichtig. Auch die Anlage von 2019, deren Softwarestand seit der Inbetriebnahme niemand mehr angefasst hat.

Wo gemeldet wird

Über die Single Reporting Platform der EU-Cybersicherheitsagentur ENISA. Sie ist am 11. September 2026 gestartet — nach Angaben der ENISA zunächst als „initial operating capability”, die in den kommenden Monaten erweitert wird.

Eine Meldung geht über eine Oberfläche gleichzeitig an die ENISA und an das für Sie zuständige nationale CSIRT. Zuständig ist nach Artikel 14 Absatz 7 das CSIRT des Mitgliedstaats, in dem Sie Ihre Hauptniederlassung haben — und das ist dort, wo die Entscheidungen über die Cybersicherheit Ihrer Produkte überwiegend getroffen werden, nicht zwingend am Firmensitz. Für Hersteller ohne Hauptniederlassung in der EU legt die Verordnung eine feste Reihenfolge fest.

Wer die Fristen nicht einhält, riskiert nach Artikel 64 Absatz 2 Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das ist die Obergrenze, nicht der Regelfall — aber es zeigt, in welcher Gewichtsklasse der Gesetzgeber die Pflicht ansiedelt.

Warum das kein Meldeproblem ist, sondern ein Bestandsproblem

Eine Frühwarnung innerhalb von 24 Stunden zu schreiben, dauert nicht 24 Stunden. Das Formular ist der leichte Teil.

Der schwere Teil steht in der Frühwarnung selbst: Sie sollen angeben, in welchen Mitgliedstaaten Ihr betroffenes Produkt verfügbar ist. Nach 72 Stunden sollen Sie sagen, welches Produkt betroffen ist und welche Maßnahmen greifen. Das setzt drei Auskünfte voraus, die viele Hersteller heute nicht auf Knopfdruck haben:

• Welche Software läuft auf welcher Maschine? Nicht welche Version ausgeliefert wurde, sondern welche heute läuft — nach Serviceeinsätzen, Nachrüstungen und Vor-Ort-Änderungen.
• Wo stehen diese Maschinen? Kunde, Standort, Land. Die Frühwarnung fragt nach Mitgliedstaaten.
• Wie kommt eine Abhilfe dorthin? Die 14-Tage-Frist für den Abschlussbericht beginnt erst, wenn eine Maßnahme verfügbar ist — verfügbar zu machen ist also Ihre eigene Uhr.

Wenn die Antwort auf die erste Frage eine Tabellenkalkulation ist, die jemand pflegt, wenn er dazu kommt, ist die 24-Stunden-Frist nicht das eigentliche Risiko. Das eigentliche Risiko ist, dass Sie in der Meldung etwas angeben müssen, das Sie nicht belegen können.

Was das mit der Steuerung zu tun hat

Mehr, als es auf den ersten Blick aussieht. Die drei Fragen oben sind keine Compliance-Fragen, sondern Betriebsfragen — sie entscheiden sich in der Architektur Ihrer Maschinensoftware, lange bevor jemand ein Meldeformular öffnet.

logiccloud ORCHESTRATE ist für genau diese Auskunft gebaut: Geräte und Softwarestände der gesamten installierten Basis zentral erfassen, herstellerübergreifend; Maschinen nach Kunde, Werk, Typ und Version gruppieren; Updates kontrolliert ausrollen — validiert an einer Maschine, pilotiert an zehn, gestaffelt auf hunderte, mit automatischem Rollback, wenn etwas schiefgeht; Zugriffe über Rollen steuern und jede Änderung protokollieren.

Das macht Ihr Produkt nicht CRA-konform. Konformität ist eine Leistung Ihrer Organisation über den gesamten Lebenszyklus, keine Eigenschaft, die sich einbauen lässt, und diese Verantwortung bleibt beim Hersteller. Was eine zentrale Geräte- und Softwareverwaltung leistet, ist etwas Bescheideneres und in einer 24-Stunden-Frist trotzdem Entscheidendes: Sie macht die Antwort nachweisbar, statt sie rekonstruieren zu müssen.

Was jetzt zu tun ist, in dieser Reihenfolge

1. Zuständigkeit klären. Welches CSIRT ist für Sie zuständig — also: wo werden die Entscheidungen über die Cybersicherheit Ihrer Produkte überwiegend getroffen? Einmal feststellen, dokumentieren, fertig.
2. Zugang zur Meldeplattform einrichten. Nicht am Tag des Vorfalls. Wer sich um 23 Uhr erst registriert, hat von 24 Stunden schon welche verloren.
3. Benennen, wer meldet. Eine Person, eine Vertretung, eine Telefonnummer. Die Frist läuft ab Kenntnis des Unternehmens, nicht ab Kenntnis der zuständigen Person — Urlaub hält sie nicht an.
4. Den Eingangskanal festlegen. Woher erfahren Sie überhaupt von einer ausgenutzten Schwachstelle? Support, Servicetechniker, Lieferanten, eine öffentliche Meldestelle. Wenn es keinen definierten Weg gibt, erfahren Sie es zu spät.
5. Die Bestandsfrage beantworten. Welche Software läuft auf welcher Maschine, in welchem Land. Das ist der längste der fünf Punkte und der einzige, der sich nicht in einer Woche erledigen lässt.

Die Punkte 1 bis 4 sind Organisation und in wenigen Tagen machbar. Punkt 5 ist Technik — und er entscheidet, ob die ersten vier im Ernstfall überhaupt etwas nützen.

Dieser Artikel ordnet die Rechtslage ein und ersetzt keine Rechtsberatung. Welche Pflichten Ihr Unternehmen konkret treffen, hängt von Ihren Produkten ab.

Der nächste Schritt

Wenn Sie nicht sicher sagen können, welche Softwareversion gerade auf welcher Anlage im Feld läuft, fangen Sie dort an — alles Weitere im CRA baut auf dieser Auskunft auf.

Unser CRA-Readiness-Check geht die Fragen der Reihe nach durch und zeigt, wo Ihre installierte Basis heute steht.