Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei ihren Produkten melden. Die erste Frist beträgt 24 Stunden.
Eine aktiv ausgenutzte Schwachstelle ist eine Schwachstelle, für die es zuverlässige Belege gibt, dass sie im Produkt ausgenutzt wurde. Ein schwerwiegender Sicherheitsvorfall ist ein Vorfall, der die Sicherheit des Produkts beeinträchtigt, zum Beispiel weil Daten oder Funktionen kompromittiert werden.
Die Pflicht gilt für jedes Produkt mit digitalen Elementen auf dem EU-Markt, auch für Produkte, die vor Dezember 2027 in Verkehr gebracht wurden. Sie ist der erste Teil des CRA, der bereits gilt.
Innerhalb von 24 Stunden
Nachdem Sie davon erfahren haben, mit Angabe der Mitgliedstaaten, in denen das Produkt angeboten wird, soweit bekannt.
Innerhalb von 72 Stunden
Allgemeine Angaben zum Produkt, zur Ausnutzung und zur Schwachstelle sowie zu den ergriffenen oder empfohlenen Maßnahmen.
Innerhalb von 14 Tagen
Spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist: Beschreibung, Schweregrad, Auswirkungen und das Sicherheitsupdate.
Innerhalb von 24 Stunden
Nachdem Sie davon erfahren haben, mit der Angabe, ob ein rechtswidriger oder böswilliger Angriff vermutet wird.
Innerhalb von 72 Stunden
Allgemeine Angaben zur Art des Vorfalls, eine erste Bewertung und die ergriffenen oder empfohlenen Maßnahmen.
Innerhalb eines Monats
Spätestens einen Monat nach der Meldung: Beschreibung, Schweregrad, Auswirkungen, Art der Bedrohung und Abhilfemaßnahmen.
Eine 24-Stunden-Frist ist nur einzuhalten, wenn die Entscheidungen vor dem ersten Fall vorbereitet sind.
1
Quellen, die Ihnen zeigen, wenn eine Komponente in Ihren Produkten ausgenutzt wird, von Sicherheitshinweisen bis zu Ihren eigenen Support-Kanälen.
2
Kriterien, ab wann ein Befund als aktiv ausgenutzt gilt und gemeldet werden muss.
3
Benannte Personen, die entscheiden und melden, mit Vertretung für Wochenenden und Feiertage.
4
Registrierung und Konten für die einheitliche Meldeplattform, getestet, bevor sie gebraucht werden.
5
Vorbereitete Texte für Frühwarnung, Meldung, Abschlussbericht und Nutzerinformation.
6
Die Meldung ist mit Analyse, Behebung und Updates verbunden, wie es Anhang I Teil II verlangt.
Stand: Oktober 2026. Diese Leitfäden erklären die Verordnung in einfacher Sprache und sind keine Rechtsberatung.
Wir bauen den Meldeprozess mit Ihrem Team auf und verbinden ihn mit Überwachung und Behebung. Das Modul Schwachstellenmanagement in AITIGRITY unterstützt die Meldungen.
Erzählen Sie uns von Ihrem Produkt und den Vorgaben, die Sie erfüllen müssen. Sie sprechen vom ersten Gespräch an mit einem Ingenieur.
Cybersecurity-Beratung und die Plattform AITIGRITY für vernetzte Produkte und industrielle Systeme.
