01Wer ist betroffen, und seit wann?
Artikel 14 gilt seit dem 11. September 2026, also früher als der Rest der Verordnung. Die Pflicht erfasst alle Produkte mit digitalen Elementen auf dem EU-Markt, auch solche, die vor diesem Datum in Verkehr gebracht wurden (Artikel 69 Absatz 3).
Die Pflicht liegt beim Hersteller. Auch ein Hersteller außerhalb der EU muss melden, wenn das Produkt in der EU in Verkehr gebracht wird. Zu den besonderen Punkten für Hersteller außerhalb der EU siehe den Leitfaden zur CRA-Vorbereitung.
Zwei Situationen lösen eine Meldung aus:
- Aktiv ausgenutzte Schwachstelle: eine Schwachstelle im Produkt, für die verlässliche Belege vorliegen, dass ein böswilliger Akteur sie ohne Erlaubnis des Eigentümers in einem System ausgenutzt hat (Artikel 3 Nummer 42, Artikel 14 Absatz 1).
- Schwerwiegender Sicherheitsvorfall: ein Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt und dessen Fähigkeit beeinträchtigt oder beeinträchtigen kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen; oder der dazu geführt hat, dass Schadcode in das Produkt oder in die Systeme des Nutzers eingeschleust oder dort ausgeführt wurde (Artikel 14 Absätze 3 und 5).
Eine Schwachstelle, die nicht ausgenutzt wurde, erfordert keine Pflichtmeldung nach Artikel 14; sie kann nach Artikel 15 freiwillig gemeldet werden. Behoben werden muss sie nach Anhang I Teil II in jedem Fall.
02An wen und wie wird gemeldet?
Meldungen werden über die einheitliche Meldeplattform der ENISA (Single Reporting Platform, SRP) übermittelt. Die Plattform leitet jede Meldung gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA weiter (Artikel 14 Absatz 1, Artikel 16).
Koordinator ist das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Für Hersteller ohne Hauptniederlassung in der EU ist es, in dieser Reihenfolge, der Mitgliedstaat des Bevollmächtigten, des Einführers oder des Händlers; gibt es keinen davon, der Mitgliedstaat mit den meisten Nutzern des Produkts (Artikel 14 Absatz 7).
Laut ENISA bietet die erste Version der SRP keine API für automatisierte Übermittlungen. Meldungen werden direkt im Portal erfasst. Wer die Fristen halten will, sollte die Inhalte deshalb vorab bereithalten. Zu Konten, Wahl des CSIRT und den Fristanzeigen der Plattform siehe den Leitfaden zur ENISA-Meldeplattform.
03Fristen und Inhalt der Meldungen
Die Fristen beginnen, sobald der Hersteller von der aktiven Ausnutzung oder dem Sicherheitsvorfall Kenntnis erlangt. Die Verordnung verlangt jeden Schritt unverzüglich; die folgenden Zeiten sind Höchstfristen.
Aktiv ausgenutzte Schwachstelle (Artikel 14 Absatz 2)
| Schritt | Spätestens | Inhalt |
|---|---|---|
| Frühwarnung | 24 Stunden | Die Mitgliedstaaten, in denen das Produkt nach Kenntnis des Herstellers auf dem Markt bereitgestellt wurde. |
| Meldung von Schwachstellen | 72 Stunden | Allgemeine Informationen zum Produkt, die allgemeine Art der Ausnutzung und der Schwachstelle, ergriffene Korrektur- oder Risikominderungsmaßnahmen sowie Maßnahmen, die Nutzer ergreifen können, und wie sensibel die Informationen sind. |
| Abschlussbericht | 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist | Beschreibung der Schwachstelle einschließlich Schweregrad und Auswirkungen, Informationen zu einem etwaigen böswilligen Akteur, Einzelheiten zur Sicherheitsaktualisierung oder zu anderen Maßnahmen. |
Schwerwiegender Sicherheitsvorfall (Artikel 14 Absatz 4)
| Schritt | Spätestens | Inhalt |
|---|---|---|
| Frühwarnung | 24 Stunden | Ob der Verdacht besteht, dass der Sicherheitsvorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde, und die Mitgliedstaaten, in denen das Produkt auf dem Markt bereitgestellt wurde. |
| Meldung des Sicherheitsvorfalls | 72 Stunden | Art des Sicherheitsvorfalls, eine erste Bewertung, ergriffene Maßnahmen sowie Maßnahmen, die Nutzer ergreifen können, und wie sensibel die Informationen sind. |
| Abschlussbericht | 1 Monat nach der Meldung des Sicherheitsvorfalls | Ausführliche Beschreibung einschließlich Schweregrad und Auswirkungen, Art der Bedrohung oder Ursache, ergriffene und laufende Risikominderungsmaßnahmen. |
Kostenloses Tool
Fristenrechner für Artikel 14
Geben Sie den Zeitpunkt ein, zu dem Sie Kenntnis erlangt haben, und sehen Sie die spätesten Zeitpunkte für Frühwarnung, Meldung und Abschlussbericht. Die Berechnung läuft vollständig in Ihrem Browser; es werden keine Daten übertragen.
Dies sind Höchstfristen: Die Verordnung verlangt, dass unverzüglich gemeldet wird. Die Zeiten werden in der Zeitzone Ihres Browsers angezeigt.
04Information der Nutzer
Nachdem er Kenntnis erlangt hat, informiert der Hersteller die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Sicherheitsvorfall und über die Maßnahmen, die sie ergreifen können, gegebenenfalls in einem strukturierten, maschinenlesbaren Format (Artikel 14 Absatz 8).
Werden die Nutzer nicht rechtzeitig informiert, kann das CSIRT, an das die Meldung ging, diese Informationen selbst bereitstellen.
05Checkliste zur Einhaltung der Fristen
- Wissen, welche Produkte welche Komponenten enthalten. Mit einer aktuellen SBOM sehen Sie innerhalb von Minuten, welche Produkte und Firmware-Versionen von einer neu veröffentlichten CVE betroffen sind.
- Signale für Ausnutzung beobachten. Quellen wie der Katalog bekannter ausgenutzter Schwachstellen der CISA (KEV) und EPSS zeigen frühzeitig, welche Schwachstellen ausgenutzt werden. Die Entscheidung trifft immer Ihr Team.
- Den Zeitpunkt der Kenntniserlangung festlegen. Halten Sie schriftlich fest, wer entscheidet, wie dieser Zeitpunkt dokumentiert wird und wann die 24-Stunden-Frist beginnt.
- Meldeinhalte vorab als Vorlage anlegen. Produktinformationen, die Mitgliedstaaten, in denen das Produkt verkauft wird, und Kontaktdaten wiederholen sich in jeder Meldung.
- Festlegen, wer meldet. EU-Login-Konten und Multi-Faktor-Authentifizierung dieser Personen vorab einrichten; die Registrierung bei der SRP erst vornehmen, wenn eine Meldung ansteht, wie die ENISA es wünscht (Leitfaden zur ENISA-Meldeplattform). Planen Sie Wochenenden und Feiertage ein.
- Den Kanal zur Information der Nutzer vorbereiten. Eine Seite für Sicherheitshinweise, eine E-Mail-Liste oder CSAF-Advisories.
- Aufzeichnungen führen. Halten Sie unveränderbar fest, was wann bekannt war und was wann übermittelt wurde; die Marktüberwachungsbehörden können danach fragen.
Verstöße gegen Artikel 14 können mit Geldbußen von bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Artikel 64 Absatz 2). Siehe den CRA-Leitfaden.
Wenn Sie die Fristenüberwachung und Meldeentwürfe an Ihrem eigenen Produkt erproben möchten, sehen Sie sich unser Pilotprogramm an.
06Häufige Fragen
Seit wann sind Meldungen nach Artikel 14 Pflicht?
Seit dem 11. September 2026. Die Pflicht gilt auch für Produkte, die vor diesem Datum in Verkehr gebracht wurden.
Muss ich jede Schwachstelle melden?
Nein. Die Meldepflicht gilt für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Andere Schwachstellen können nach Artikel 15 freiwillig gemeldet werden; ihre Behebung ist nach Anhang I Pflicht.
Wohin sende ich die Meldung?
An die einheitliche Meldeplattform der ENISA (SRP). Sie leitet die Meldung gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA weiter.
Wann ist der Abschlussbericht fällig?
Bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist; bei schwerwiegenden Sicherheitsvorfällen innerhalb eines Monats nach der Meldung des Sicherheitsvorfalls.
Ich bin ein Hersteller außerhalb der EU. Muss ich melden?
Ja, wenn Ihr Produkt auf dem EU-Markt bereitgestellt wird. Das als Koordinator benannte CSIRT richtet sich danach, wo Ihr Bevollmächtigter, Ihr Einführer oder Ihr Händler niedergelassen ist.
Quellen
Verwandte Leitfäden
- CRA-Produktklassen, Konformitätsbewertung und CE-KennzeichnungStandardkategorie, wichtige (Klasse I und II) und kritische Produkte; welches Modul gilt und wann Sie eine notifizierte Stelle brauchen.
- EN 18031 und RED: das Verhältnis zum CRACybersicherheitsanforderungen an Funkanlagen, die seit dem 1. August 2025 gelten, und der Übergang zum CRA.
- Leitfaden zur CRA-VorbereitungFür jeden Hersteller, der in die EU verkauft: Rollen, Zeitplan, zusätzliche Punkte für Hersteller außerhalb der EU und eine Checkliste Schritt für Schritt.
- Was ist eine SBOM? Ein Leitfaden für Firmware-TeamsWas in eine SBOM gehört, SPDX und CycloneDX, warum Firmware es schwierig macht, was CRA und BSI TR-03183-2 erwarten, und VEX.
- IEC 62443 und CRA: Abgleich und LückenWo IEC 62443-4-1 und 4-2 CRA Anhang I treffen, welche Pflichten offen bleiben, die CENELEC-Änderungen und der Wert einer Zertifizierung.
- ENISA SRP: vor der ersten MeldungEU Login und Vertreter, Wahl des koordinierenden CSIRT, Fristanzeigen der Plattform, Schließen einer übermittelten Meldung und eine kurze Checkliste.
- EU-CRA: aktueller Stand und ZeitplanZeitplan, harmonisierte Normen, Rechtsakte der Kommission, ENISA-SRP und notifizierte Stellen; monatlich anhand amtlicher Quellen geprüft.
- CRA-Leitfaden: ÜberblickAnwendungsbereich, Zeitplan, grundlegende Anforderungen nach Anhang I, Produktklassen, Meldepflichten und Geldbußen auf einer Seite.
Sprechen wir über diesen Prozess für Ihr Produkt
Lernen Sie unser Pilotprogramm für Unternehmen kennen: Es erstellt die SBOM Ihrer Firmware, priorisiert Schwachstellen und überwacht die Fristen nach Artikel 14.