Skip to content
Redaktionelle StandardsWerben
MeridiansUnabhängige Berichterstattung, Tests und Kaufberatung
LIVE
Tech/Explainer

Ab 11. September müssen Hersteller ausgenutzte Sicherheitslücken binnen 24 Stunden melden

Die erste Pflicht aus dem Cyber Resilience Act greift — für Router, Kameras und smarte Geräte, vorerst aber nur gegenüber Behörden.

Meridians Technik-Redaktion

Published 25. August 2026 · Updated 25. August 2026 · 4 min read

Ab 11. September müssen Hersteller ausgenutzte Sicherheitslücken binnen 24 Stunden meldenTech
Photo: Foto von cottonbro studio / Pexels (Pexels-Lizenz — kostenlos nutzbar, Nennung rechtlich nicht erforderlich (oben dennoch angegeben).)

The short answer

  • Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die Behörden melden.
  • Die erste Frühwarnung ist binnen 24 Stunden fällig, eine ergänzende Meldung binnen 72 Stunden.
  • Gemeldet wird über die europäische Single Reporting Platform der Agentur ENISA; in Deutschland führt das BSI die Marktüberwachung.
  • Beim Kauf merken Sie davon zunächst nichts: Die Sicherheitsanforderungen an neue Produkte gelten erst ab dem 11. Dezember 2027.

Am 11. September 2026 greift die erste harte Pflicht aus dem Cyber Resilience Act. Die Verordnung (EU) 2024/2847 wurde am 23. Oktober 2024 beschlossen und trat am 10. Dezember 2024 in Kraft, ihre Pflichten greifen aber gestaffelt. Den Anfang machen die Meldepflichten: Wer ein Produkt mit digitalen Elementen auf den EU-Markt bringt, muss aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle künftig binnen Stunden melden.

Die vier Fristen, die ab dem 11. September gelten

  • 24 Stunden: Frühwarnung, sobald eine Schwachstelle aktiv ausgenutzt wird
  • 72 Stunden: ergänzende Meldung mit weiteren Informationen
  • 14 Tage nach Bereitstellung eines Updates: Abschlussbericht zur Schwachstelle
  • Ein Monat: Abschlussbericht zu einem schwerwiegenden Sicherheitsvorfall

Gemeldet wird nicht an eine deutsche Adresse, sondern über die Single Reporting Platform der europäischen Cybersicherheitsagentur ENISA. In Deutschland führt das Bundesamt für Sicherheit in der Informationstechnik die Marktüberwachung. Ende Juni 2026 trafen sich dazu in Berlin die Marktüberwachungsbehörden aus 13 europäischen Staaten und die EU-Kommission. BSI-Präsidentin Claudia Plattner begrüßte die Teilnehmer, den Vorsitz der Gruppe führt Anna Schwendicke.

Welche Produkte erfasst sind

  • Erfasst ist grundsätzlich jedes Produkt mit digitalen Elementen auf dem EU-Markt — vom Betriebssystem über die App bis zur vernetzten Steckdose
  • Ausgenommen: Medizinprodukte und In-vitro-Diagnostika
  • Ausgenommen: Fahrzeuge
  • Ausgenommen: Zivilluftfahrt und Schiffsausrüstung
  • Ausgenommen: kostenlose Open-Source-Software, die ohne Gewinnerzielungsabsicht bereitgestellt wird

Für Ihren nächsten Gerätekauf ändert sich am 11. September nichts Sichtbares. Die Meldungen laufen zwischen Herstellern und Behörden, nicht über den Ladentisch. Der Teil der Verordnung, der beim Kauf zählt — die verbindlichen Sicherheitsanforderungen an neue Produkte —, gilt erst ab dem 11. Dezember 2027. Wer heute eine Kamera, einen Router oder ein smartes Thermostat kauft, muss deshalb weiterhin selbst nachsehen, wie lange der Hersteller Sicherheitsupdates zusagt. Das BSI arbeitet parallel an der Technischen Richtlinie TR-03183 und an Leitfäden, die vor allem kleineren Herstellern und Start-ups die Umsetzung erleichtern sollen.

Sources

Every factual claim above is traceable to these documents. Check them — that is why they are here.

About this byline

Meridians Technik-Redaktion is an editorial desk at Meridians, not an individual. A desk byline means the article was produced and fact-checked to that desk's published standards. Read our editorial standards and corrections policy.

Anzeige

Paid placement · not editorial

Related reading

The Meridians Brief

One considered email a week

What changed, what it costs you, and what to do about it — from the Meridians desks. No sponsored picks disguised as recommendations.

Sign-up opens with our launch issue. Nothing is sent or stored yet.