CRA-Meldepflicht seit September 2026: Was muss für Maschinen und Anlagen gemeldet werden?

Die Meldepflicht kommt vor allen anderen CRA-Pflichten

Die meisten Pflichten des Cyber Resilience Act gelten ab Dezember 2027. Artikel 14, die Meldepflicht, greift früher: am 11. September 2026. Am selben Tag geht die zentrale Meldeplattform in Betrieb, über die alle Meldungen laufen – die Single Reporting Platform (SRP) der EU-Cybersicherheitsagentur ENISA, oft schlicht „ENISA-Meldeplattform" genannt. Eine Testphase vor dem Start ist vorgesehen; Handbücher, Zugangs- und Übungsmaterial hat die ENISA angekündigt, konkrete Termine stehen noch aus.

Der Stichtag gilt ohne Bestandsschutz. Die im Juli 2026 angenommenen Leitlinien der Kommission zur Anwendung des CRA (C(2026) 5252) stellen klar: Artikel 14 erfasst ab dem 11. September 2026 alle Produkte mit digitalen Elementen im Anwendungsbereich – auch solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Und anders als die Schwachstellenbehandlung endet die Meldepflicht nicht mit dem Supportzeitraum, sondern läuft darüber hinaus weiter (Rn. 210).

Betroffen ist, wer Hersteller eines Produkts mit digitalen Elementen ist – und das sind Anlagenbauer und Integratoren in aller Regel selbst, nicht nur ihre Komponentenlieferanten. Warum das so ist, behandelt ein eigener Beitrag.

Meldepflichtig sind nur zwei Fälle

Artikel 14 unterscheidet:

• Eine aktiv ausgenutzte Schwachstelle im eigenen Produkt. Art. 3 Nr. 42 CRA definiert sie als Schwachstelle, für die verlässliche Belege vorliegen, dass ein Akteur ohne Erlaubnis des Systemeigners in einem System schädlichen Code ausgeführt hat.
• Ein schwerwiegender Vorfall mit Auswirkung auf die Sicherheit des Produkts – etwa wenn Angreifer die Update-Auslieferung kompromittieren oder über das Produkt in Kundensysteme eindringen.

Nicht meldepflichtig ist damit die große Mehrheit der Schwachstellen: Eine CVE in einer verbauten Komponente, für die es keine Hinweise auf Ausnutzung gibt, löst keine Meldung aus. Sie gehört ins reguläre Schwachstellenmanagement, nicht auf die Meldeplattform. Für eine Anlage, die noch nicht in Verkehr gebracht ist, entscheidet dieselbe CVE allerdings darüber, ob die Auslieferung so zulässig ist (Beitrag zur bekannten Schwachstelle).

Ein Fall wie Log4Shell ist nicht automatisch meldepflichtig

Die Definition in Art. 3 Nr. 42 spricht von „einem System", nicht vom Produkt des Herstellers. Man könnte daraus lesen: Wird eine Komponente irgendwo angegriffen, muss jeder melden, der sie verbaut hat. Die Kommissions-FAQ (Abschnitt 5.4) sagt dazu nur, dass bei einer aktiv ausgenutzten Schwachstelle aus einer integrierten Komponente auch der Hersteller des Gesamtprodukts meldet, zusätzlich zum Komponentenhersteller.

Die Leitlinien der Kommission vom Juli 2026 sind genauer (Rn. 218). Sie nennen zwei Fälle, in denen die Schwachstelle für das eigene Produkt nicht als aktiv ausgenutzt gilt und die Pflichtmeldung entfällt: Die Schwachstelle ist im eigenen Produkt nicht ausnutzbar, etwa weil der verwundbare Codepfad nicht erreichbar ist. Oder sie ist im eigenen Produkt nicht ausgenutzt worden. Für einen Anlagenbauer heißt das: Steht die Bibliothek einer verbauten Steuerung auf der KEV-Liste, weil sie bei anderen angegriffen wird, löst das allein keine Meldung aus. Die eigene 24-Stunden-Frist läuft erst, wenn belastbar feststeht, dass eine eigene Anlage angegriffen wurde. Erwägungsgrund 68 beschreibt denselben Fall: Der Hersteller stellt fest, dass eine Sicherheitsverletzung bei seinen Nutzern auf sein Produkt zurückgeht.

Die Leitlinien sind nicht bindend, und der Wortlaut von Art. 3 Nr. 42 ist weiter. Wer sicher gehen will, kann nach Art. 15 freiwillig melden; das kostet Aufwand, aber kein Risiko. Wer sich auf Rn. 218 stützt, sollte die Prüfung dokumentieren: Welche Anlagen enthalten die Komponente, ist sie dort erreichbar, gibt es Hinweise auf einen Angriff. Ab Dezember 2027 kommt für neu in Verkehr gebrachte Produkte die Information des Komponentenherstellers nach Art. 13 Abs. 6 dazu.

Die Frist verschiebt sich damit, die Arbeit nicht. Ob eine eigene Anlage betroffen ist, lässt sich nur prüfen, wenn bekannt ist, in welchen Anlagen die Komponente in welchem Stand steckt. Und die Kenntnis kommt in der Praxis vom Kunden, dessen Produktion steht. Dann läuft die Frist, und die Prüfung muss innerhalb von 24 Stunden fertig sein.

Die Meldung läuft in drei Stufen: 24 Stunden, 72 Stunden, Abschlussbericht

Die 24 Stunden laufen ab Kenntnis, nicht ab dem nächsten Werktag: Wird eine aktive Ausnutzung am Freitagabend bekannt, ist die Frühwarnung am Samstagabend fällig. Dafür muss vorher geklärt sein, wer die Information bekommt und wer meldet, auch wenn der Zuständige im Urlaub ist. Und irgendwer muss die verbauten Komponenten überhaupt beobachten, sonst erfährt man von der Ausnutzung erst, wenn die Frist längst läuft.

Wann „Kenntnis" vorliegt, präzisieren die Kommissions-Leitlinien: Ein verdächtiges Ereignis ist unverzüglich zu bewerten; die Uhr startet, sobald mit hinreichender Gewissheit feststeht, dass tatsächlich eine aktive Ausnutzung vorliegt (Rn. 213). Ausnutzungen, die schon vor dem 11. September 2026 bekannt waren, sind nicht rückwirkend zu melden (Rn. 217).

Gemeldet wird über die Single Reporting Platform (SRP) der ENISA

Immerhin gibt es nur einen Meldeweg. Eine Meldung an die SRP geht automatisch gleichzeitig an das zuständige nationale CSIRT (das richtet sich nach der Hauptniederlassung des Herstellers, für deutsche Hersteller das BSI) und an die ENISA. Sind Produkte in mehreren Mitgliedstaaten im Einsatz, verteilt das empfangende CSIRT die Meldung weiter – der Hersteller meldet trotzdem nur einmal.

Leicht zu verwechseln ist die SRP mit der Europäischen Schwachstellendatenbank (EUVD) – beide kommen von der ENISA, beide drehen sich um Schwachstellen. In die SRP meldet der Hersteller hinein, in der EUVD schlägt er nach.

Die EUVD ist eine der Quellen, aus denen man erfährt, dass eine Schwachstelle ausgenutzt wird, und damit einer der Auslöser für die 24-Stunden-Frist. Gemeldet wird nur über die SRP.

Diese Angaben müssen in den ersten 24 Stunden stehen

Die ENISA hat die Meldefelder der SRP veröffentlicht. Für die Frühwarnung ist der Pflichtteil bewusst knapp:

• Art der Meldung: aktiv ausgenutzte Schwachstelle oder schwerwiegender Vorfall
• Name des Herstellers
• Das betroffene Produkt
• Titel beziehungsweise Kurzbeschreibung
• Bei Vorfällen: ob eine rechtswidrige oder böswillige Handlung vermutet wird
• Soweit bekannt: die Mitgliedstaaten, in denen das Produkt bereitgestellt wird

Die Substanz folgt in der 72-Stunden-Meldung (Art der Schwachstelle, ergriffene Gegenmaßnahmen, Empfehlungen für Nutzer) und im Abschlussbericht (vollständige Beschreibung mit Schweregrad und Auswirkung, Details zum Sicherheitsupdate).

Nur eine dieser Angaben macht Arbeit: Welche der eigenen Produkte und ausgelieferten Anlagen sind betroffen? Wer das bei einer zugekauften Komponente erst am Tag der Meldung zu recherchieren beginnt, hat die 24 Stunden verbraucht, bevor das Formular offen ist.

Verstöße kosten bis zu 15 Millionen Euro oder 2,5 Prozent des Umsatzes

Verstöße gegen die Melde- und Schwachstellenpflichten der Artikel 13 und 14 können mit Geldbußen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das ist die höchste Bußgeldstufe, die der CRA kennt.

Vier Fragen aus der Praxis

Wer meldet bei zugekauften Komponenten – ich oder mein Lieferant?

Beide. Die Kommission stellt in ihrer FAQ zur CRA-Umsetzung unter Abschnitt 5.4 klar: Wird eine Schwachstelle aus einer integrierten Komponente im eigenen Produkt aktiv ausgenutzt, muss der Hersteller des Produkts sie melden – zusätzlich zum Hersteller der Komponente. Jeder meldet für sein eigenes Produkt; die Plattform bündelt nur die Behörden. Sich darauf zu verlassen, dass der Lieferant schon melden wird, trägt nicht.

Muss die Ausnutzung in meiner Anlage passiert sein?

Nach Lesart der Kommission ja. Die Leitlinien nehmen Schwachstellen aus Komponenten von der Pflichtmeldung aus, wenn sie im eigenen Produkt nicht ausnutzbar sind oder dort nicht ausgenutzt wurden (Rn. 218). Ein Angriff auf eine fremde Anlage mit derselben Steuerung löst Ihre Frist also nicht aus. Prüfen müssen Sie trotzdem, ob eine Ihrer Anlagen betroffen ist, und dafür müssen Sie wissen, wo die Komponente steckt. Einzelheiten oben im Abschnitt zu Log4Shell.

Muss ich auch meine Kunden informieren?

Ja, und zwar nach Artikel 14 Absatz 8 CRA. Neben der Behördenmeldung verlangt der CRA, die betroffenen Nutzer zu informieren – über den Vorfall beziehungsweise die Schwachstelle und, erforderlichenfalls, über Risikominderungs- und Korrekturmaßnahmen, die die Nutzer ergreifen können, gegebenenfalls in einem strukturierten, maschinenlesbaren Format. Die Meldung an die Plattform ersetzt die Kundeninformation nicht; beide Stränge sollten im internen Prozess getrennt vorbereitet sein. Unterbleibt die Information rechtzeitig, können die als Koordinatoren benannten CSIRTs die Nutzer nach derselben Vorschrift selbst unterrichten.

Woher weiß ich überhaupt, dass eine Schwachstelle aktiv ausgenutzt wird?

Aus der Beobachtung der eigenen verbauten Basis: Lieferanten-Advisories, Katalogen bekannt ausgenutzter Schwachstellen wie CISA KEV und dem Exploited-Status in der EUVD. Wer nicht verfolgt, welche Komponenten in welchen Firmware-Ständen im Feld laufen, erfährt es häufig vom Kunden. Dann läuft die Frist bereits.

Was Artikel 14 nicht verlangt

Der VDMA weist in einem Beitrag vom 21. September 2026 auf Überinterpretationen der Meldepflicht hin, auch weil Mitgliedsunternehmen mit Angeboten zur automatisierten Schwachstellensuche kontaktiert wurden. Wir gehören zu diesen Anbietern. Deshalb halten wir hier fest, was Artikel 14 nach Verordnungstext und Kommissions-Lesart nicht verlangt:

• Keine Pflicht zur aktiven Suche. Der CRA schreibt nicht vor, wie ein Hersteller Kenntnis erlangt, sondern nur, was nach der Kenntnis zu tun ist. Die Kommissions-FAQ (Abschnitt 5.1) nennt Advisories, Threat-Intelligence-Berichte, Behörden, Kunden und eigene Telemetrie als Beispiele und stellt klar, dass daraus keine Pflicht folgt, diese Kanäle zu beobachten.
• Kein Schwachstellenmanagement nach Anhang I Teil II. Für Anlagen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gilt nur die Meldepflicht. Die Schwachstellenbehandlung aus Anhang I Teil II greift dort nicht (Leitlinien Rn. 210, FAQ 5.3). Dasselbe gilt nach Ende des Supportzeitraums.
• Keine SBOM. Die SBOM ist eine Anforderung aus Anhang I Teil II und damit erst ab Dezember 2027 und nur für dann in Verkehr gebrachte Produkte Pflicht. Für die Meldung selbst braucht es sie nicht.
• Keine Pflicht zur Behebung bei Bestandsanlagen. Die Kommission räumt ein, dass ältere Produkte oft nicht mehr untersucht werden können. Gemeldet werden muss trotzdem, eine Korrekturpflicht aus dem CRA folgt daraus nicht (FAQ 5.3). Liefervertrag und Produkthaftung bleiben davon unberührt.
• Keine zentrale Meldestelle und kein 24/7-Bereitschaftsdienst. Die Anlaufstelle für Schwachstellenmeldungen ist eine Anforderung aus Anhang I Teil II, nicht aus Artikel 14. Einen Bereitschaftsdienst schreibt der CRA nicht vor. Die 24 Stunden laufen aber ab Kenntnis, auch am Wochenende. Eine Vertretungsregel ersetzt den Bereitschaftsdienst.
• Keine Erleichterung für KMU. Artikel 14 enthält keine Ausnahme nach Unternehmensgröße. Die Fristen gelten für den Zehn-Personen-Betrieb wie für den Konzern.

Was bleibt, ist die Frist: 24 Stunden ab dem Moment, in dem der Hersteller mit hinreichender Gewissheit weiß, dass eine Schwachstelle in seinem Produkt ausgenutzt wird (Leitlinien Rn. 213). Diese Kenntnis kommt auch ohne eigenes Monitoring, zum Beispiel durch den Kunden, dessen Anlage steht. Ob man dann weiß, welche Anlagen in welchem Stand betroffen sind, entscheidet darüber, ob die Frist zu halten ist. Das ist ein Argument für die Feldbasis, keine Pflicht aus Artikel 14.

Der Meldefall lässt sich vorher durchspielen

Bis zum 11. September 2026 bleibt genug Zeit, den Fall durchzuspielen, bevor er eintritt:

• Welche eigenen Produkte mit digitalen Elementen sind im Markt, und in welchen Mitgliedstaaten?
• Wer bewertet, wer meldet, und wer vertritt ihn außerhalb der Bürozeiten?
• Die Pflichtfelder der Plattform als interne Vorlage anlegen.
• Advisories und Ausnutzungs-Status der verbauten Komponenten gegen die eigene Feldbasis abgleichen. Ohne das fehlt der Auslöser, an dem alle Fristen hängen.
• Textbausteine und Verteiler für die Kundeninformation, getrennt von der Behördenmeldung.
• Die Testphase der ENISA einplanen, sobald Termine feststehen.

Ein Test dafür: Morgen steht eine Ihrer verbauten Komponenten auf der KEV-Liste. Wie lange dauert es, bis Sie wissen, welche Anlagen betroffen sind, und in welchem Stand?

Nach einem Angriff fragt der Kunde, warum das Advisory nicht ankam

Überwachen muss man erst ab Dezember 2027, gemeldet wird bereits seit September 2026 – und mit der Meldung auch die betroffenen Kunden informieren (Art. 14 Abs. 8). Beides setzt voraus, dass man mitbekommt, was der Steuerungshersteller veröffentlicht hat.

Der teurere Fall steht ohnehin neben der Verordnung. Nach einem Angriff steht beim Kunden die Produktion. Das Advisory des Steuerungsherstellers war seit Wochen öffentlich. Der Kunde fragt, warum er nicht informiert wurde, und verweist auf den Liefervertrag. „Davon wussten wir nichts" ist in dem Gespräch eine unangenehme Antwort.

Das Angebot: die Feldbasis einer Baureihe in zwei Terminen aufnehmen, erste Betroffenheitsliste nach zwei Wochen

Werkspilot nimmt die Feldbasis einer Baureihe in zwei Terminen auf und gleicht die Advisories Ihrer Lieferanten ab dann automatisch dagegen ab – nach zwei Wochen steht die erste Betroffenheitsliste, mit Datum im Protokoll: welche Anlage, welcher Stand, welcher Kunde.

Erstgespräch anfragen →

Die interne Meldevorlage mit den SRP-Pflichtfeldern und dem Eskalationspfad für die ersten 24 Stunden gibt es auf Anfrage, gegen Name, Firma und Anlagentyp. Wir fragen nach zwei Wochen nach, ob der Eskalationspfad besetzt ist: Vorlage anfordern.

Werkspilot überwacht Lieferanten-Advisories automatisiert und gleicht sie gegen die Feldbasis von Anlagenbauern und Integratoren ab. Dieser Beitrag gibt die Einschätzung von Werkspilot wieder (Stand September 2026, vor Veröffentlichung der ENISA-Handbücher) und ersetzt keine Rechtsberatung.