EU verlangt Cybermeldungen für digitale Produkte binnen 24 Stunden

Worum es geht

Seit dem 11. September 2026 gilt ein erster zentraler Teil des EU Cyber Resilience Act (CRA): Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Dafür hat die EU-Agentur für Cybersicherheit ENISA am selben Tag die Single Reporting Platform (SRP) in Betrieb genommen. Sie soll eine Meldung an die zuständigen europäischen Stellen bündeln.

Das betrifft nicht nur klassische IT-Anbieter. Erfasst sein können vernetzte Geräte, Hardware mit Software, Desktop-Programme, mobile Apps und andere digitale Produkte, die auf dem EU-Markt bereitgestellt werden. Die weitergehenden Sicherheits- und Konformitätspflichten des CRA gelten grundsätzlich erst ab dem 11. Dezember 2027. Die Meldepflicht startet früher.

Was die neue Meldepflicht tatsächlich macht

Hersteller müssen über die SRP zwei Arten von Fällen melden: aktiv ausgenutzte Schwachstellen und schwere Vorfälle, welche die Sicherheit eines Produkts mit digitalen Elementen beeinträchtigen. Nach Angaben der Europäischen Kommission ist eine erste Warnung binnen 24 Stunden nach Bekanntwerden fällig. Eine ausführlichere Meldung folgt binnen 72 Stunden.

Bei einer aktiv ausgenutzten Schwachstelle muss der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur eingereicht werden. Bei einem schweren Vorfall ist der Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung fällig. Hersteller melden einmal über die SRP. Das zuständige nationale Computer Security Incident Response Team erhält die Meldung und verteilt sie grundsätzlich an weitere betroffene CSIRTs; ENISA bekommt sie gleichzeitig.

Für Open-Source-Software gibt es eine wichtige Abgrenzung: Nach der Kommissionsseite gelten die Pflichten für sogenannte Open-Source-Software-Stewards nach Artikel 24 Absatz 3 erst ab dem 11. Dezember 2027. Ob ein konkretes Projekt, Unternehmen oder Produkt unter den CRA fällt, hängt jedoch von Rolle, Bereitstellung und Geschäftsmodell ab.

Warum das wichtig ist

Die Frist beginnt nicht erst, wenn ein Patch fertig ist oder eine Untersuchung abgeschlossen wurde. Die 24-Stunden-Warnung setzt ein, sobald der Hersteller von einem meldepflichtigen Fall Kenntnis hat. Damit werden Erkennung, interne Eskalation, Rechtsprüfung und Behördenmeldung zu einem gemeinsamen Betriebsprozess. Ein Unternehmen, das Sicherheitsmeldungen nur in einem E-Mail-Postfach sammelt, kann die Frist schnell verpassen.

Für Käufer kann die Regel schneller sichtbare Reaktionen auf tatsächlich ausgenutzte Lücken bringen. Für Hersteller entsteht zugleich ein Anreiz, klare Zuständigkeiten, Produktinventare und belastbare Protokolle einzurichten. Raspberry Pi weist in seiner Einordnung darauf hin, dass die Meldepflicht auch Produkte betreffen kann, die bereits auf dem Markt sind.

Die Plattform ist außerdem ein Koordinationsinstrument. Eine Meldung soll nicht separat an viele Behörden geschickt werden müssen. ENISA betont jedoch, dass die SRP in den kommenden Monaten anhand der Betriebserfahrung weiterentwickelt wird. Der Start der Plattform bedeutet deshalb nicht, dass jeder Grenzfall schon abschließend geklärt ist.

Einfach erklärt

Das System ähnelt einem europaweiten Notruf für digitale Produkte. Wenn ein Hersteller merkt, dass Einbrecher bereits eine bekannte Schwachstelle nutzen, darf er nicht erst die komplette Reparatur abwarten. Er meldet zunächst knapp, was passiert ist, ergänzt binnen 72 Stunden die wichtigsten Details und reicht später den Abschlussbericht nach.

Praktisches Beispiel

Ein mittelständischer Hersteller verkauft 40.000 vernetzte Heizungssteuerungen in mehreren EU-Ländern. Am Dienstag um 09:00 Uhr bestätigt sein Sicherheitsteam, dass Angreifer eine Schwachstelle in der Fernwartung aktiv ausnutzen. Bis Mittwoch um 09:00 Uhr muss eine Frühwarnung über die SRP erfolgen, sofern der Fall die CRA-Kriterien erfüllt. Bis Freitag um 09:00 Uhr folgt die ausführlichere Meldung mit Erkenntnissen zu Angriff und Gegenmaßnahmen.

Der Hersteller veröffentlicht zehn Tage später ein Sicherheitsupdate. Bei einer aktiv ausgenutzten Schwachstelle beginnt damit die Frist für den Abschlussbericht, der spätestens 14 Tage nach Verfügbarkeit der Korrektur fällig ist. Das Beispiel zeigt, warum Zeitstempel, klare Eskalationswege und eine vorbereitete Vertretung wichtiger sind als ein erst im Ernstfall verfasstes Handbuch.

Einordnung und Grenzen

• Nicht jede Schwachstelle ist automatisch meldepflichtig. Entscheidend ist unter anderem, ob sie aktiv ausgenutzt wird oder ein schwerer Sicherheitsvorfall vorliegt.
• Die SRP ersetzt weder Patch-Management noch Kundeninformation oder andere gesetzliche Meldewege. Je nach Fall können zusätzliche Pflichten bestehen.
• Diese Übersicht ist keine Rechtsberatung. Hersteller müssen ihre Rolle, Produkte und konkrete Betroffenheit anhand des CRA und aktueller Behördenhinweise prüfen.

Zudem sind die allgemeinen CRA-Pflichten zur Produktsicherheit, technischen Dokumentation und Konformität nicht bereits vollständig am 11. September 2026 in Kraft getreten. Der heutige Stichtag betrifft vor allem die Meldung aktiv ausgenutzter Schwachstellen und schwerer Vorfälle.

SEO- und GEO-Schlüsselbegriffe

EU Cyber Resilience Act, CRA, ENISA, Single Reporting Platform, SRP, 24-Stunden-Meldepflicht, Schwachstellenmeldung, Sicherheitsvorfall, digitale Produkte, CSIRT, Produktsicherheit, Open-Source-Software