Aktiv ausgenutzte Schwachstellen
Schwachstellen in einem Produkt mit digitalen Elementen, die nachweislich aktiv für Angriffe ausgenutzt werden und bei Vorliegen der gesetzlichen Kriterien CRA-melderelevant sein können.
Cyber Resilience Act (CRA)
CRA-Meldepflicht: die 24h-/72h-Fristen erklärt
Orientierung zu 24h-/72h-Referenzpunkten, Erstbewertung, Eskalation und Nachweisführung. Ob ein Sachverhalt meldepflichtig ist, bleibt einzelfallabhängig zu prüfen.
Kurzfakten
Die Meldelogik auf einen Blick
Maßgeblich ist immer der offizielle Verordnungstext; regulatorische Entwicklungen und nationale Durchführung sind fortlaufend zu prüfen.
- Anwendbar ab
- 11. September 2026
- Frühwarnung
- binnen 24 Stunden
- Meldung
- binnen 72 Stunden
- Abschlussbericht
- 14 Tage (Schwachstellen) bzw. 1 Monat (Vorfälle)
- Meldeweg
- CRA Single Reporting Platform an den zuständigen CSIRT; ENISA wird einbezogen
Beispielsituation
Vom Hinweis zur internen Entscheidung
Bei echten Hinweisen zählt nicht nur die Uhrzeit. Produktbezug, Erstbewertung, Eskalation und Nachweisverweis müssen ohne Suchlauf zusammenpassen.
- Tag 0
Security-Hinweis erfassen
Quelle, Zeitpunkt, betroffene Version und Produktbezug werden erfasst.
- erste Stunden
Technische Erstbewertung läuft
Aktive Ausnutzung, Schwere, betroffene Funktionen und Rückfragen werden geprüft.
- 24h/72h
Melderelevanz wird entschieden
Fachliche Eskalation, Entscheidung, Maßnahme und Nachweisverweis werden festgehalten.
Auslöser
Welche Ereignisse können unter die CRA-Meldepflicht fallen?
In Betracht kommen insbesondere zwei Ereignisarten rund um Produkte mit digitalen Elementen. Die konkrete Einordnung bleibt einzelfallabhängig.
Schwerwiegende Sicherheitsvorfälle
Vorfälle, die die Fähigkeit eines Produkts beeinträchtigen oder beeinträchtigen können, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit wichtiger Daten oder Funktionen zu schützen, oder die zur Einführung beziehungsweise Ausführung schädlichen Codes führen oder führen können. Die konkrete Einordnung bleibt einzelfallabhängig.
Fristen
Die drei Stufen: 24h, 72h, Abschlussbericht
Für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle sieht der CRA gestufte Meldefristen über die CRA Single Reporting Platform an den zuständigen CSIRT vor; ENISA wird gemäß CRA einbezogen.
- max. 24 Stunden
Frühwarnung
Erste Frühwarnung nach Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls.
- max. 72 Stunden
Meldung
Meldung mit weiteren Angaben zu Schwachstelle bzw. Vorfall und den ergriffenen Maßnahmen.
- 14 Tage / 1 Monat
Abschlussbericht
Abschlussbericht: bei Schwachstellen binnen 14 Tagen, nachdem eine Abhilfemaßnahme verfügbar ist – bei schwerwiegenden Vorfällen binnen eines Monats nach der 72h-Meldung.
Intern vorbereiten
Interne Meldeprüfung vorbereiten, bevor die Frist läuft
Die 24h-/72h-Fristen lassen sich nur steuern, wenn vorab klar ist, wo Hinweise eingehen, wer bewertet, wer entscheidet und wo der Nachweis landet.
-
Hinweis aufnehmen
Eingangskanal, Produktbezug, Zeitpunkt und Quelle erfassen.
-
Erstbewertung starten
Aktiv ausgenutzte Schwachstelle oder schwerwiegender Vorfall? Technische Klärung anstoßen.
-
Eskalation & Entscheidung
Verantwortliche Rollen, Freigabeweg und mögliche CRA-Melderelevanz intern prüfen.
-
Nachweis & Wiedervorlage
Entscheidung, Maßnahmen, Fristen und Nachweisverlauf dokumentieren.
Häufige Fragen
Häufige Fragen zur CRA-Meldepflicht
Kurzantworten zu Inhalt, Fristen und Empfängern der Meldungen.
Welche Ereignisse können nach dem CRA meldepflichtig sein?
Aktiv ausgenutzte Schwachstellen in Produkten mit digitalen Elementen sowie schwerwiegende Sicherheitsvorfälle können nach dem CRA meldepflichtig sein, wenn die gesetzlichen Kriterien erfüllt sind. Ob dies im konkreten Fall zutrifft, bleibt einzelfallabhängig zu prüfen.
Wie schnell muss ein Vorfall nach dem CRA gemeldet werden?
Der CRA sieht eine gestufte Logik vor: eine Frühwarnung binnen 24 Stunden, eine ausführlichere Meldung binnen 72 Stunden und einen Abschlussbericht. Bei aktiv ausgenutzten Schwachstellen ist dieser binnen 14 Tagen nach Verfügbarkeit einer Abhilfemaßnahme fällig, bei schwerwiegenden Vorfällen binnen eines Monats nach der 72h-Meldung.
An wen werden CRA-Vorfälle gemeldet?
Meldungen erfolgen über die CRA Single Reporting Platform an den zuständigen CSIRT; ENISA wird gemäß CRA einbezogen. Die konkrete Zuständigkeit richtet sich nach dem offiziellen Verordnungstext und seiner Umsetzung.
Weiterlesen
Verwandte Themen zum Cyber Resilience Act
Quellen: Verordnung (EU) 2024/2847 / EUR-Lex BSI - Cyber Resilience Act EU-Kommission - Reporting obligations Einordnung aus organisatorischer Sicht; keine Rechtsberatung, technische Produktprüfung oder Konformitätsbewertung. Ob ein konkreter Sachverhalt meldepflichtig ist, bleibt anhand der gesetzlichen Kriterien einzelfallabhängig zu prüfen.