Wird eine Lücke in einem Produkt mit digitalen Elementen aktiv ausgenutzt, läuft für den Hersteller seit dem 11. September 2026 eine Uhr, sobald er davon erfährt.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Welche Produkte die Pflicht erfasst

Grundlage ist die EU-Verordnung über Cyberresilienz, der Cyber Resilience Act, kurz CRA. Seit dem 11. September 2026 verpflichtet sie Hersteller, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden, die die Sicherheit von Produkten mit digitalen Elementen betreffen. Darin stimmen die EU-Kommission und ENISA mit dem BSI überein. Erfasst sind nach dem BSI Hardware und Software, also etwa Smartphones, vernetzte Geräte und Zähler ebenso wie Apps und Unternehmenssoftware. Ausgenommen ist nicht kommerzielle quelloffene Software.

Wo der Hersteller seinen Sitz hat, ist unerheblich, sobald er solche Produkte auf den EU-Binnenmarkt bringt.

Auch der Bestand ist betroffen. Laut Freshfields gilt die Pflicht ebenso für Produkte, die schon vor der vollen Anwendung des CRA im Dezember 2027 auf dem EU-Markt waren. Die übrigen Anforderungen der Verordnung gelten ab dem 11. Dezember 2027. Für Verwalter quelloffener Software beginnen die Meldepflichten nach Angaben der Kommission erst an diesem Tag.

Die erste Frist beginnt mit der Kenntnis

Was eine aktiv ausgenutzte Schwachstelle ist, beschreibt das BSI so: „eine Schwachstelle, für die zuverlässige Belege vorliegen, dass ein böswilliger Akteur sie ohne Erlaubnis nachweisbar in einem System ausgenutzt hat“. Für die Meldung selbst nennen Kommission und BSI gestaffelte Fristen:

Neben der Meldung steht eine Informationspflicht. Nach Freshfields müssen Hersteller die betroffenen Nutzer und, wo angebracht, alle Nutzer über die Schwachstelle oder den Vorfall informieren, einschließlich möglicher Maßnahmen, mit denen sich die Auswirkungen begrenzen lassen.

Der Meldeweg führt über ENISA

Hersteller melden einmal, und zwar über die Single Reporting Platform, kurz SRP, die ENISA entwickelt hat und betreibt. Die Meldung geht an das CSIRT, also das Computernotfallteam, des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Außer unter besonderen Umständen wird sie nach Angaben der Kommission zeitgleich ENISA zugänglich gemacht. In Deutschland ist das koordinierende CSIRT laut BSI CERT-Bund, das Computernotfallteam des Bundes. Die Plattform selbst ist nach dem BSI englischsprachig. Übermittelt wird die Meldung von einer Vertretungsperson, die für den Hersteller benannt ist, im Englischen „Assigned Representative“ genannt. Die Plattform unterscheidet laut BSI zwischen einer primären und einer stellvertretenden Vertretungsperson, beide können für den Hersteller melden. Eine Registrierungspflicht vor dem Bedarf einer Meldung besteht nach dem Hinweis des BSI nicht.

ENISA teilte am 11. September 2026 mit, die Agentur habe die „initial operating capability“ der Plattform in Betrieb genommen, also eine erste Betriebsstufe. Die Plattform ist damit am selben Tag gestartet, an dem die Pflicht beginnt. ENISA-Direktor Juhan Lepassaar sagte, Schwachstellen in digitalen Produkten würden oft ausgenutzt, um kritische Dienste wie Gesundheit, Energie, Verkehr oder Telekommunikation zu stören. Eine gebündelte Meldung und ein gemeinsamer Informationsaustausch trügen nach seinen Worten zu einem widerstandsfähigeren digitalen Binnenmarkt bei.

Wer ist Hersteller?

Ob ein bestimmter Betrieb Hersteller im Sinne der Verordnung ist, hängt vom Einzelfall ab. Diese Einordnung kann ein allgemeiner Artikel nicht leisten. Einen ersten Anhaltspunkt geben die Beispiele des BSI, die von Smartphones und Zählern bis zu Apps und Unternehmenssoftware reichen. Wer Produkte mit digitalen Elementen entwickelt oder vertreibt und bei der Einordnung unsicher ist, sollte die Frage prüfen lassen, bevor ein Meldefall eintritt.

Ein Nachbarthema bleibt in diesem Artikel außen vor. Was die NIS2-Umsetzung für kleine und mittlere Firmen bedeutet, steht in unserem Beitrag zu NIS2.

Unsere Einschätzung

Viele kleinere Firmen halten sich nicht für Hersteller. Bei manchen lohnt trotzdem ein zweiter Blick, etwa beim Maschinenbauer mit vernetzter Steuerung oder beim Softwarehaus mit eigener Anwendung, und auch ein Händler, der ein Gerät unter eigenem Namen verkauft, sollte sich die Frage stellen.

Die 24 Stunden laufen ab Kenntnis, und am Freitagabend ist Kenntnis schnell erlangt, wenn ein Kunde anruft. Wer bis dahin nicht festgelegt hat, wer meldet und wer die englischsprachige Plattform bedient, verliert die Frist in der internen Abstimmung, lange bevor die Technik zum Problem wird. Auch die Information der Kunden braucht einen Namen. Solche Zuständigkeiten sind in ruhigen Wochen schnell geklärt, im Ernstfall kostet ihre Klärung genau die Stunden, die dann fehlen.

Oft erfährt ein Betrieb von einer ausgenutzten Lücke über einen Zulieferer, der ein Bauteil oder eine Bibliothek beigesteuert hat. Wer solche Hinweise im Postfach eines Einzelnen landen lässt, hat genau dort seine eigene Schwachstelle. Ein gemeinsames Postfach mit Vertretungsregel ist schnell eingerichtet und entschärft das.

Registrieren muss sich vor dem ersten Meldefall niemand. Festlegen, wer dann meldet, sollte ein Hersteller vorher.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 11. September 2026):

Häufige Fragen

Was müssen Hersteller seit dem 11. September 2026 nach dem Cyber Resilience Act melden?

Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die die Sicherheit von Produkten mit digitalen Elementen betreffen. Erfasst sind nach dem BSI Hardware und Software. Nicht kommerzielle quelloffene Software ist ausgenommen.

Welche Fristen gelten für die Meldung einer aktiv ausgenutzten Schwachstelle?

Nach Kommission und BSI ist eine Frühwarnung innerhalb von 24 Stunden fällig, nachdem der Hersteller Kenntnis erlangt hat, die Meldung innerhalb von 72 Stunden. Der Abschlussbericht folgt bei aktiv ausgenutzten Schwachstellen spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist. Bei schwerwiegenden Vorfällen ist er innerhalb eines Monats nach der 72-Stunden-Meldung fällig.

Wohin geht die Meldung eines Herstellers aus Deutschland?

Gemeldet wird einmal über die Single Reporting Platform, die ENISA entwickelt hat und betreibt. Die Meldung geht an das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat, in Deutschland laut BSI an CERT-Bund. Die Plattform ist nach dem BSI englischsprachig, eine Registrierungspflicht vor dem Bedarf einer Meldung besteht nicht.

Was sollte ein Betrieb jetzt regeln?

Zuerst sollte ein Betrieb klären, ob er Hersteller im Sinne der Verordnung ist. Das hängt vom Einzelfall ab und sollte im Zweifel geprüft werden. Wer Hersteller ist, legt am besten vor dem ersten Meldefall fest, wer meldet und die englischsprachige Plattform bedient. Auch für die Information der Kunden sollte vorher jemand zuständig sein.

Wer im Betrieb meldet, wenn eine Lücke im eigenen Produkt bekannt wird?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 11. September 2026. Stand der Recherche: 11. September 2026.