Aktuelles 2026 · Stand: 12. November 2026
Hersteller erfasster Produkte mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach dem CRA-Melderegime bewerten.
Meldung vor den Hauptpflichten
Nach Angaben der Kommission gelten Meldepflichten seit 11. September 2026, die wesentlichen CRA-Pflichten ab 11. Dezember 2027. Die Meldevorschriften erfassen auch relevante bereits auf dem EU-Markt verfügbare Produkte.
Abgestimmte Meldeprozesse
Die Kommission nennt Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden. Die Fristen des Abschlussberichts unterscheiden sich bei aktiv ausgenutzten Schwachstellen und schweren Vorfällen. Auslöser und parallele Meldeordnungen sind gesondert zu prüfen; eine Meldung erfüllt nicht automatisch alle Pflichten.
Vier Praxisbeispiele
Illustrative Fälle, keine Berichte über konkrete Mandate. Die Bewertung richtet sich nach dem Sachverhalt und dem anwendbaren Recht.
Ausgenutzter Fehler
Ein Anbieter dokumentiert Kenntniszeitpunkt und Bewertung mit dem Sicherheitsteam.
Älteres Produkt
Ein früherer Marktstart schließt das Melderegime nicht automatisch aus.
Mehrere Meldepflichten
Bei betroffenen Personendaten werden DSGVO und CRA getrennt geprüft und Tatsachenangaben abgestimmt.
Verspätete Lieferanteninformation
Ein Hersteller überprüft Eskalationsklauseln und den eigenen Meldeprozess, wenn Komponenteninformationen spät eintreffen.
Nächster praktischer Schritt
Ermitteln Sie betroffene Systeme, Produkte und Verträge, benennen Sie Verantwortliche und bewahren Sie die Unterlagen zur rechtlichen Einordnung auf.