CRA-Meldepflicht ab September 2026: Was muss für Maschinen und Anlagen gemeldet werden?

Die Meldepflicht kommt vor allen anderen CRA-Pflichten

Die meisten Pflichten des Cyber Resilience Act gelten ab Dezember 2027. Artikel 14, die Meldepflicht, greift früher: am 11. September 2026. Am selben Tag geht die zentrale Meldeplattform in Betrieb, über die alle Meldungen laufen – die Single Reporting Platform (SRP) der EU-Cybersicherheitsagentur ENISA, oft schlicht „ENISA-Meldeplattform" genannt. Eine Testphase vor dem Start ist vorgesehen; Handbücher, Zugangs- und Übungsmaterial hat die ENISA angekündigt, konkrete Termine stehen noch aus.

Der Stichtag gilt ohne Bestandsschutz. Die im Juli 2026 angenommenen Leitlinien der Kommission zur Anwendung des CRA (C(2026) 5252) stellen klar: Artikel 14 erfasst ab dem 11. September 2026 alle Produkte mit digitalen Elementen im Anwendungsbereich – auch solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Und anders als die Schwachstellenbehandlung endet die Meldepflicht nicht mit dem Supportzeitraum, sondern läuft darüber hinaus weiter (Rn. 210).

Betroffen ist, wer Hersteller eines Produkts mit digitalen Elementen ist – und das sind Anlagenbauer und Integratoren in aller Regel selbst, nicht nur ihre Komponentenlieferanten. Warum das so ist, behandelt ein eigener Beitrag.

Meldepflichtig sind nur zwei Fälle

Artikel 14 unterscheidet:

• Eine aktiv ausgenutzte Schwachstelle im eigenen Produkt – also eine Schwachstelle, zu der es verlässliche Hinweise gibt, dass jemand sie tatsächlich gegen Systeme einsetzt.
• Ein schwerwiegender Vorfall mit Auswirkung auf die Sicherheit des Produkts – etwa wenn Angreifer die Update-Auslieferung kompromittieren oder über das Produkt in Kundensysteme eindringen.

Nicht meldepflichtig ist damit die große Mehrheit der Schwachstellen: Eine CVE in einer verbauten Komponente, für die es keine Hinweise auf Ausnutzung gibt, löst keine Meldung aus. Sie gehört ins reguläre Schwachstellenmanagement, nicht auf die Meldeplattform.

Ein Fall wie Log4Shell ist trotzdem meldepflichtig

„Aktiv ausgenutzt" setzt keinen Angriff auf die eigene Anlage voraus. Es genügt der verlässliche Beleg, dass ein Angreifer die Schwachstelle in irgendeinem System ausgenutzt hat. Wird eine Bibliotheks-Schwachstelle wie Log4Shell weltweit ausgenutzt und steckt die Bibliothek in einer verbauten Komponente des eigenen Produkts, ist die Meldepflicht ausgelöst, sobald der Hersteller davon weiß.

Die eine Ausnahme: Die Schwachstelle ist im eigenen Produkt nachweislich nicht ausnutzbar, etwa weil der verwundbare Codepfad in der eigenen Konfiguration nicht erreichbar ist. Dann entfällt die Pflichtmeldung; der Komponentenhersteller ist zu informieren, und das „nicht ausnutzbar" muss begründet und dokumentiert sein. Die Kommissions-Leitlinien bestätigen das (Rn. 218) und lassen in diesem Fall eine freiwillige Meldung nach Artikel 15 zu.

Drei Fristen: 24 Stunden, 72 Stunden, Abschlussbericht

Die 24 Stunden laufen ab Kenntnis, nicht ab dem nächsten Werktag: Wird eine aktive Ausnutzung am Freitagabend bekannt, ist die Frühwarnung am Samstagabend fällig. Die Frist zu halten ist Organisationssache: Wer bekommt die Information, wer entscheidet, wer meldet – auch am Wochenende und in der Urlaubszeit? Rechtzeitig Kenntnis zu erlangen setzt voraus, dass jemand die verbauten Komponenten laufend beobachtet.

Wann „Kenntnis" vorliegt, präzisieren die Kommissions-Leitlinien: Ein verdächtiges Ereignis ist unverzüglich zu bewerten; die Uhr startet, sobald mit hinreichender Gewissheit feststeht, dass tatsächlich eine aktive Ausnutzung vorliegt (Rn. 213). Ausnutzungen, die schon vor dem 11. September 2026 bekannt waren, sind nicht rückwirkend zu melden (Rn. 217).

Gemeldet wird über die Single Reporting Platform (SRP) der ENISA

Immerhin gibt es nur einen Meldeweg. Eine Meldung an die SRP geht automatisch gleichzeitig an das zuständige nationale CSIRT (das richtet sich nach der Hauptniederlassung des Herstellers, für deutsche Hersteller das BSI) und an die ENISA. Sind Produkte in mehreren Mitgliedstaaten im Einsatz, verteilt das empfangende CSIRT die Meldung weiter – der Hersteller meldet trotzdem nur einmal.

Leicht zu verwechseln ist die SRP mit der Europäischen Schwachstellendatenbank (EUVD) – beide kommen von der ENISA, beide drehen sich um Schwachstellen. In die SRP meldet der Hersteller hinein, in der EUVD schlägt er nach.

Für die Meldepflicht spielen beide eine Rolle, aber verschiedene: Die EUVD ist eine der Quellen, an denen sich ablesen lässt, dass eine Schwachstelle aktiv ausgenutzt wird – also das Signal, mit dem die 24-Stunden-Uhr startet. Gemeldet wird dann ausschließlich über die SRP.

Diese Angaben müssen in den ersten 24 Stunden stehen

Die ENISA hat die Meldefelder der SRP veröffentlicht. Für die Frühwarnung ist der Pflichtteil bewusst knapp:

• Art der Meldung: aktiv ausgenutzte Schwachstelle oder schwerwiegender Vorfall
• Name des Herstellers
• Das betroffene Produkt
• Titel beziehungsweise Kurzbeschreibung
• Bei Vorfällen: ob eine rechtswidrige oder böswillige Handlung vermutet wird
• Soweit bekannt: die Mitgliedstaaten, in denen das Produkt bereitgestellt wird

Die Substanz folgt in der 72-Stunden-Meldung (Art der Schwachstelle, ergriffene Gegenmaßnahmen, Empfehlungen für Nutzer) und im Abschlussbericht (vollständige Beschreibung mit Schweregrad und Auswirkung, Details zum Sicherheitsupdate).

Aufwendig an dieser Liste ist eine einzige Angabe: Welche der eigenen Produkte und ausgelieferten Anlagen sind betroffen? Wer das bei einer zugekauften Komponente erst am Tag der Meldung zu recherchieren beginnt, hat die 24 Stunden verbraucht, bevor das Formular offen ist.

Bußgelder: bis 15 Millionen Euro oder 2,5 Prozent des Umsatzes

Verstöße gegen die Melde- und Schwachstellenpflichten der Artikel 13 und 14 können mit Geldbußen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das ist die höchste Bußgeldstufe, die der CRA kennt.

Vier Fragen aus der Praxis

Wer meldet bei zugekauften Komponenten – ich oder mein Lieferant?

Beide. Die Kommission stellt in ihrer FAQ zur CRA-Umsetzung unter Abschnitt 5.4 klar: Steckt eine aktiv ausgenutzte Schwachstelle aus einer integrierten Komponente im eigenen Produkt, muss der Hersteller des Produkts sie melden – zusätzlich zum Hersteller der Komponente. Jeder meldet für sein eigenes Produkt; die Plattform bündelt nur die Behörden. Sich darauf zu verlassen, dass der Lieferant schon melden wird, trägt nicht.

Muss die Ausnutzung in meiner Anlage passiert sein?

Nein. Verlässliche Belege, dass ein Angreifer die Schwachstelle in irgendeinem System ohne Erlaubnis ausgenutzt hat, genügen; steckt die betroffene Komponente in Ihrer Maschine, ist Ihre Meldepflicht ausgelöst, sobald Sie davon wissen. Die Ausnahme für nachweislich nicht ausnutzbare Schwachstellen steht oben im Abschnitt zu Log4Shell.

Muss ich auch meine Kunden informieren?

Ja, und zwar nach Artikel 14 Absatz 8 CRA. Neben der Behördenmeldung verlangt der CRA, die betroffenen Nutzer zu informieren – über den Vorfall beziehungsweise die Schwachstelle und, erforderlichenfalls, über Risikominderungs- und Korrekturmaßnahmen, die die Nutzer ergreifen können, gegebenenfalls in einem strukturierten, maschinenlesbaren Format. Die Meldung an die Plattform ersetzt die Kundeninformation nicht; beide Stränge sollten im internen Prozess getrennt vorbereitet sein. Unterbleibt die Information rechtzeitig, können die als Koordinatoren benannten CSIRTs die Nutzer nach derselben Vorschrift selbst unterrichten.

Woher weiß ich überhaupt, dass eine Schwachstelle aktiv ausgenutzt wird?

Aus der Beobachtung der eigenen verbauten Basis: Lieferanten-Advisories, Katalogen bekannt ausgenutzter Schwachstellen wie CISA KEV und dem Exploited-Status in der EUVD. Wer nicht systematisch verfolgt, welche Komponenten in welchen Firmware-Ständen im Feld laufen, erfährt von der Ausnutzung oft erst, wenn die 24-Stunden-Uhr längst läuft – oder vom eigenen Kunden.

Was sich jetzt vorbereiten lässt

Bis zum 11. September 2026 bleibt genug Zeit, den Fall durchzuspielen, bevor er eintritt:

• Produktinventar: Welche eigenen Produkte mit digitalen Elementen sind im Markt, und in welchen Mitgliedstaaten?
• Zuständigkeit und Erreichbarkeit: Wer bewertet, wer entscheidet, wer meldet – mit Vertretung, auch außerhalb der Bürozeiten?
• Internes Meldeformular: Die Pflichtangaben der Plattform als Vorlage vorbereiten, damit im Ernstfall niemand Felder recherchieren muss.
• Komponenten-Überwachung: Advisories und Ausnutzungs-Status der verbauten Komponenten systematisch verfolgen und gegen die eigene Feldbasis abgleichen – sonst fehlt der Auslöser, an dem alle Fristen hängen.
• Kundenkommunikation: Textbausteine und Verteiler für die Nutzerinformation vorbereiten, getrennt von der Behördenmeldung.
• Testphase nutzen: Die ENISA hat vor dem Start Übungsmöglichkeiten angekündigt – sobald Termine feststehen, einplanen.

Wie gut Sie auf den 11. September vorbereitet sind, lässt sich an einer einzigen Frage messen: Eine Komponente in Ihren Anlagen taucht morgen auf einer Exploited-Liste auf – wie lange brauchen Sie, bis Sie wissen, welche Anlagen in welchem Stand betroffen sind?

Die unangenehme Frage kommt vom Kunden

Überwachen muss man erst ab Dezember 2027, melden schon ab September 2026 – und mit der Meldung auch die betroffenen Kunden informieren (Art. 14 Abs. 8). Beides setzt voraus, dass man mitbekommt, was der Steuerungshersteller veröffentlicht hat.

Der teurere Fall steht ohnehin neben der Verordnung: Beim Kunden steht nach einem Angriff die Produktion, das Advisory des Steuerungsherstellers lag seit Wochen öffentlich auf dessen Webseite, und er fragt: „Warum haben Sie uns nicht informiert?" „Davon wussten wir nichts" ist die Antwort, die man dann nicht geben will. Der Kunde bleibt auf dem Stillstand nicht sitzen, sondern verweist auf den Liefervertrag, die Geschichte macht im Branchenkreis die Runde, und im eigenen Haus fragt die Geschäftsführung, warum das niemand überwacht hat.

Das Angebot: überwachte Feldbasis je Baureihe

Werkspilot nimmt die Feldbasis einer Baureihe in zwei Terminen auf und gleicht die Advisories Ihrer Lieferanten ab dann automatisch dagegen ab – nach zwei Wochen steht die erste Betroffenheitsliste, mit Datum im Protokoll: welche Anlage, welcher Stand, welcher Kunde.

Erstgespräch anfragen →

Die interne Meldevorlage mit den SRP-Pflichtfeldern und dem Eskalationspfad für die ersten 24 Stunden gibt es auf Anfrage, gegen Name, Firma und Anlagentyp. Wir fragen nach zwei Wochen nach, ob der Eskalationspfad besetzt ist: Vorlage anfordern.

Werkspilot überwacht Lieferanten-Advisories automatisiert und gleicht sie gegen die Feldbasis von Anlagenbauern und Integratoren ab. Dieser Beitrag gibt die Einschätzung von Werkspilot wieder (Stand Juli 2026, vor Veröffentlichung der ENISA-Handbücher) und ersetzt keine Rechtsberatung.