Ab dem 11. September 2026 gilt Artikel 14 des Cyber Resilience Act. Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen innerhalb von 24 Stunden gemeldet werden. Das betrifft auch Produkte, die längst auf dem Markt sind.
Vor einem Jahr haben wir über den Cyber Resilience Act geschrieben und vor dem engen Zeitplan gewarnt. Jetzt ist es so weit: In zehn Tagen, am 11. September 2026, tritt die Meldepflicht nach Artikel 14 der EU-Verordnung 2024/2847 in Kraft. Wer sich am Datum Dezember 2027 orientiert, plant an der falschen Frist. Die volle Produktkonformität kommt später. Die Meldepflicht kommt jetzt, und sie gilt ab dem ersten Tag für alle Produkte mit digitalen Elementen auf dem EU-Markt.
Was gemeldet werden muss
Artikel 14 kennt zwei Auslöser. Erstens: aktiv ausgenutzte Schwachstellen, also Schwachstellen in Ihrem Produkt, für die es verlässliche Hinweise gibt, dass ein Angreifer sie ohne Zustimmung des Systemeigentümers ausgenutzt hat. Zweitens: schwerwiegende Vorfälle mit Auswirkungen auf die Sicherheit des Produkts, etwa wenn Schadcode eingeschleust wird oder die Fähigkeit des Produkts beeinträchtigt ist, sensible Daten und Funktionen zu schützen. Gewöhnliche Bugs, routinemässige Patches und intern gefundene Schwachstellen ohne Ausnutzung sind nicht meldepflichtig. Die Pflicht ist enger, als viele befürchten, aber wenn sie greift, greift sie hart.
Die Fristen: 24 Stunden, 72 Stunden, 14 Tage
Die Frühwarnung muss innerhalb von 24 Stunden erfolgen, nachdem Sie Kenntnis erlangt haben. Innerhalb von 72 Stunden folgt die vollständige Meldung mit Einschätzung, Schweregrad und verfügbaren Gegenmassnahmen. Der Abschlussbericht ist bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrekturmassnahme fällig, bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung. Zusätzlich müssen Sie betroffene Nutzer informieren, inklusive verfügbarer Gegenmassnahmen. Die Uhr startet mit der Kenntnisnahme, nicht mit der Analyse. Wer erst im Ernstfall klärt, wer meldet und was, hat die 24 Stunden bereits verloren.
Die Single Reporting Platform
Gemeldet wird über die Single Reporting Platform (SRP) der ENISA: eine Meldung, die gleichzeitig an den koordinierenden nationalen CSIRT und die ENISA geht, statt Einzelmeldungen an mehrere Behörden. Bei Redaktionsschluss dieses Beitrags ist die Plattform noch nicht live. Die ENISA plant den Betrieb auf den 11. September, die öffentliche URL wird erst zum Start publiziert. Die Schritt-für-Schritt-Anleitungen vom Juli und August 2026 zeigen aber bereits den Ablauf: Die Registrierung läuft über ein EU-Login-Konto, das Sie heute schon anlegen können. Bei der Registrierung wählen Sie Ihren koordinierenden CSIRT aus. Für Schweizer Hersteller ohne EU-Hauptniederlassung richtet sich die Zuständigkeit nach dem EU-Bevollmächtigten beziehungsweise danach, wo die Produkte bereitgestellt werden.
Auch Altprodukte sind betroffen
Artikel 69 Absatz 3 stellt klar: Die Meldepflicht gilt für alle Produkte mit digitalen Elementen auf dem EU-Markt, auch für solche, die vor Dezember 2027 in Verkehr gebracht wurden. Ein Produkt, das Sie 2020 ausgeliefert und seither nicht angefasst haben, braucht ab September eine funktionierende 24-Stunden-Meldefähigkeit. Auch Schwachstellen aus integrierten Dritt- und Open-Source-Komponenten entbinden Sie nicht: Wird eine Komponente in Ihrem Produkt aktiv ausgenutzt, melden Sie. Bei Verstössen gegen die Pflichten aus Artikel 13 und 14 drohen Bussen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Die Meldepflicht ist der Ort, an dem die Durchsetzung zuerst ansetzen wird, denn eine unterlassene Meldung ist der am einfachsten nachweisbare Verstoss.
Was Sie bis zum 11. September tun können
Nichts davon braucht die Plattform. Legen Sie EU-Login-Konten für eine verantwortliche Person und eine Stellvertretung an. Klären Sie, welche Ihrer Produkte in den Anwendungsbereich fallen, denn die 72-Stunden-Meldung fragt Produkttyp und Kategorie ab. Bauen Sie die Frühwarnung als internes Formular mit den Pflichtfeldern der ENISA und benennen Sie zwei Personen, die es auch ausserhalb der Bürozeiten ausfüllen können. Prüfen Sie Ihre Lieferantenverträge: Ohne Informationspflichten Ihrer Zulieferer erfahren Sie von einer ausgenutzten Komponenten-Schwachstelle womöglich zu spät. Und stellen Sie sicher, dass Sie Ausnutzung überhaupt erkennen: Wer keine Telemetrie, kein Monitoring und keinen Kanal für externe Schwachstellenmeldungen hat, kann nicht melden, was er nicht sieht. Betreiber kritischer Infrastrukturen kennen den Mechanismus bereits aus der ISG-Meldepflicht, müssen aber beachten: CRA und ISG sind separate Pflichten mit separaten Empfängern.
Wie MilesGuard hilft
MilesGuard bereitet Schweizer Hersteller auf die Meldepflicht vor: Produktinventar und Scoping, Meldeprozess mit Vorlagen für alle drei Stufen, Anbindung an Ihr Schwachstellenmanagement und auf Wunsch die Detektionsfähigkeit über unser SIEM. Ein vorbereiteter Meldeprozess kostet einen Nachmittag. Ein unvorbereiteter kostet die 24 Stunden, die Sie nicht haben.
