CRA-Meldepflicht in 24 Stunden: So bereiten sich kleine Softwarehersteller vor

Die CRA-Meldepflicht gilt seit dem 11. September 2026. Wird eine Schwachstelle in Ihrer Software aktiv ausgenutzt, zählt die Uhr. Ihnen bleiben dann 24 Stunden für die erste Meldung an ENISA. Das klingt nach einem Problem für große Konzerne mit eigener Sicherheitsabteilung. Ist es aber nicht. Jeder Hersteller von Software mit digitalen Elementen ist betroffen, auch kleine Teams ohne eigenes Sicherheitsteam. Dieser Artikel erklärt, was die Pflicht konkret verlangt und wie Sie die Frist realistisch einhalten.

Wie gut sind kleine Hersteller darauf vorbereitet

Eine Bitkom-Umfrage zeigt ein durchwachsenes Bild. Der Begriff Cyber Resilience Act ist vielen bekannt. Was er für das eigene Geschäft bedeutet, wissen aber nur etwa drei von zehn Unternehmen. Erschwerend kommt hinzu: Die Single Reporting Platform von ENISA ging erst am Stichtag selbst live. Einen Probelauf vor dem 11. September 2026 gab es für die meisten Hersteller nicht.

Was überhaupt als meldepflichtiger Fall gilt

Nicht jede Schwachstelle löst die CRA-Meldepflicht aus. Entscheidend ist, ob jemand die Lücke bereits aktiv ausnutzt. Ein veröffentlichter CVE-Eintrag allein reicht dafür nicht. Sie brauchen belastbare Hinweise auf echte Ausnutzung, etwa ungewöhnliche Zugriffe oder Angriffsmuster in Ihren Logs.

Auch ein schwerer Sicherheitsvorfall löst die Meldepflicht aus. Gemeint ist ein Vorfall, der Verfügbarkeit, Vertraulichkeit oder Integrität Ihres Produkts beeinträchtigt. Auch eine mögliche Beeinträchtigung zählt dazu. Ein genereller Ransomware-Befall in Ihrem Büro zählt dabei nicht automatisch dazu. Es geht um Ihr Produkt, nicht um Ihre interne IT.

Ein Beispiel macht den Unterschied deutlich. Jemand nutzt eine Lücke in einer eingebundenen Bibliothek aus, um an Nutzerdaten zu gelangen. Das ist ein klarer Meldefall. Ein Phishing-Versuch gegen Ihre Buchhaltung ist es dagegen nicht, solange er Ihr Produkt nicht betrifft.

Wer insgesamt betroffen ist, erklären wir im Überblick zum Cyber Resilience Act. Dort lesen Sie auch, welche Pflichten jenseits der Meldefristen gelten.

Die drei Fristen nach dem ersten Erkennen

Die Uhr beginnt in dem Moment, in dem Sie von der Ausnutzung erfahren. Nicht wenn die Schwachstelle entstanden ist. Dieser Unterschied ist wichtig. Er zeigt, worauf es ankommt: schnelles Erkennen, nicht nur schnelles Melden.

Innerhalb von 24 Stunden reicht eine Frühwarnung. Sie melden, dass ein Fall vorliegt, ohne ihn vollständig zu bewerten.

Nach 72 Stunden folgt eine ausführlichere Meldung. Darin stehen eine erste Einschätzung und die Maßnahmen, die Sie bereits ergriffen haben.

Welche Angaben Sie machen müssen, hängt vom Meldetyp ab. Bei aktiv ausgenutzten Schwachstellen zählen dazu unter anderem die CVE-Nummer und eine Beschreibung der Ausnutzung. Dazu kommt eine erste Einschätzung der Schwere.

Der Abschlussbericht folgt später. Bei Schwachstellen 14 Tage, nachdem ein Patch verfügbar ist. Bei schweren Vorfällen einen Monat nach der 72-Stunden-Meldung.

Alle drei Meldungen laufen über die Single Reporting Platform von ENISA. Sie melden einmal. Die Plattform leitet die Information an die zuständige CSIRT-Stelle weiter. Zuständig ist die CSIRT-Stelle Ihrer Hauptniederlassung in der EU.

Was passiert, wenn Sie die Frist verpassen

Bußgelder drohen noch nicht sofort. Der eigentliche Sanktionsmechanismus des Cyber Resilience Act greift erst ab dem 11. Dezember 2027. Bis dahin gilt die Meldepflicht ohne unmittelbare Bußgeldandrohung, das betrifft besonders kleine Unternehmen.

Folgenlos bleibt eine verpasste Frist trotzdem nicht. Sie bleibt dokumentiert. Wird später ein Datenschutzvorfall nach der DSGVO geprüft, fällt eine fehlende CRA-Meldung negativ auf. Wer parallel unter NIS-2 fällt, hat dort eigene und bereits scharfe Fristen samt Bußgeldern.

Der eigentliche Nutzen einer funktionierenden Meldekette liegt woanders. Wer im Ernstfall schnell meldet, hat meist auch schnell einen Überblick über den eigenen Vorfall. Was im Ernstfall sonst noch zu tun ist, zeigen wir in Website gehackt: Was tun?

So bereiten sich kleine Softwarehersteller konkret vor

Die Vorbereitung lässt sich in überschaubaren Schritten erledigen. Keiner davon braucht ein eigenes Sicherheitsteam oder eine große Rechtsabteilung.

Zuständigkeit klären, auch für Wochenenden

Legen Sie fest, wer eine Meldung auslösen darf. Und wer einspringt, wenn diese Person im Urlaub ist. Eine Schwachstelle wartet nicht bis Montagmorgen, nur weil das praktischer wäre.

CSIRT-Koordinator vorab identifizieren

Ihr zuständiges CSIRT richtet sich nach Ihrer Hauptniederlassung in der EU. Finden Sie das jetzt heraus. Unter Zeitdruck ist das der falsche Moment für diese Recherche. Hersteller ohne eigene Niederlassung in der EU richten sich nach der Niederlassung ihres bevollmächtigten Vertreters. Eine falsche Zuordnung kann dazu führen, dass die Meldung ungültig wird. Dann muss sie neu eingereicht werden.

Zugang zur Plattform vorbereiten

Legen Sie ein EU-Login-Konto mit Zwei-Faktor-Authentifizierung an. Registrieren Sie sich als Vertreter auf der Single Reporting Platform. Das dauert wenige Minuten, spart im Ernstfall aber wertvolle Zeit. Pro Unternehmen gibt es eine Hauptvertretung und bis zu zwanzig weitere Vertreter. Einen Entwurf sieht jeweils nur, wer ihn angelegt hat.

Meldekriterien intern vorab festlegen

Definieren Sie, wann eine Beobachtung als aktive Ausnutzung gilt. Wer das erst während der 24-Stunden-Frist diskutiert, verliert Zeit, die er nicht hat.

Textvorlagen auf Englisch bereithalten

Die Meldung erfolgt auf Englisch. Ein vorbereiteter Textbaustein mit den wichtigsten Produktangaben nimmt Druck aus der Situation.

Schwachstellen laufend überwachen

Ohne Monitoring merken Sie eine aktive Ausnutzung oft zu spät. Funktionierendes CVE-Monitoring für Ihre eingesetzten Komponenten ist die Grundlage für jede fristgerechte Meldung. Wie das praktisch aussieht, erklären wir in CVE-Monitoring: Sicherheitslücken früh erkennen.

Auch ältere Produkte zählen

Die Meldepflicht gilt nicht nur für neue Produkte. Software, die Sie schon vor dem 11. September 2026 verkauft haben, fällt ebenfalls darunter. Das gilt selbst dann, wenn seitdem niemand mehr daran etwas verändert hat. Wer alte PHP- oder Java-Anwendungen betreut, sollte das bei der eigenen Bestandsaufnahme mitdenken.

Vorhandene Leitfäden nutzen

Sie müssen nicht bei null anfangen. Die technische Richtlinie TR-03183-1 des BSI richtet sich ausdrücklich an Hersteller ohne etablierte Sicherheitsprozesse. Auch der Helpdesk von ENISA beantwortet Fragen kleinerer Unternehmen.

Fazit: Die Frist beginnt beim Erkennen, nicht beim Melden

Die CRA-Meldepflicht wirkt auf den ersten Blick wie ein bürokratisches Extra. Tatsächlich verlangt sie etwas Sinnvolles: zu wissen, was in der eigenen Software passiert. Und im Ernstfall schnell reagieren zu können.

Wer die 24-Stunden-Frist einhalten will, kann nicht erst am Tag des Vorfalls damit beginnen. Zuständigkeiten, Zugänge und Kriterien gehören vorher geklärt, nicht während der Frist.

Sprechen Sie uns an. Das Erstgespräch ist kostenlos. Wir schauen uns an, wie weit Sie bei der CRA-Meldepflicht wirklich stehen.