Skip to content
Redaktionelle StandardsWerben
MeridiansUnabhängige Berichterstattung, Tests und Kaufberatung
LIVE
Software/Explainer

Cyber Resilience Act: Die Meldepflicht läuft seit dem 11. September

Wer vernetzte Produkte in der EU anbietet, muss ausgenutzte Schwachstellen jetzt melden – der Rest der Verordnung folgt 2027.

Meridians Technik-Redaktion

Published 17. September 2026 · Updated 17. September 2026 · 4 min read

Cyber Resilience Act: Die Meldepflicht läuft seit dem 11. SeptemberSoftware

The short answer

  • Seit dem 11. September 2026 gelten die Meldepflichten der Verordnung (EU) 2024/2847, des Cyber Resilience Act.
  • Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Das BSI nennt dafür eine Frist von 24 Stunden.
  • Die Meldung läuft über die Single Reporting Platform der EU-Agentur ENISA. In Deutschland nimmt sie das CERT-Bund im BSI entgegen.
  • Die übrigen Anforderungen der Verordnung, darunter mindestens fünf Jahre Sicherheitsupdates, gelten ab dem 11. Dezember 2027.

Seit dem 11. September 2026 gilt in der EU eine Pflicht, die viele Softwarehäuser und Gerätehersteller noch nicht auf dem Schirm haben: Wer ein Produkt mit digitalen Elementen auf dem EU-Markt anbietet, muss aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Grundlage ist die Verordnung (EU) 2024/2847, der Cyber Resilience Act, am 20. November 2024 im Amtsblatt der EU veröffentlicht und seit dem 10. Dezember 2024 in Kraft.

Wer betroffen ist

Erfasst sind alle Produkte mit digitalen Elementen, die auf dem EU-Markt verkauft werden – vernetzte Hardware vom Smartphone bis zum IoT-Gerät ebenso wie Software. Ausgenommen sind unter anderem Medizinprodukte, Fahrzeuge und kostenlose Open-Source-Software. Die Pflicht trifft den Hersteller, nicht den Käufer. Wer also ein Gerät oder eine Anwendung selbst entwickelt und vertreibt, sollte jetzt prüfen, ob er darunterfällt.

Was gemeldet werden muss – und wie

  • Meldepflichtig sind aktiv ausgenutzte Schwachstellen in eigenen Produkten sowie schwerwiegende Sicherheitsvorfälle mit Auswirkung auf die Produktsicherheit.
  • Das BSI nennt für die Meldung eine Frist von 24 Stunden.
  • Die Meldung läuft über die Single Reporting Platform (CRA-SRP), die die EU-Agentur ENISA entwickelt hat und bereitstellt.
  • Eine Meldung erreicht das zuständige koordinierende CSIRT des Mitgliedstaats und die ENISA zugleich. In Deutschland ist das CERT-Bund im BSI zuständig.
  • Eine Registrierung im Voraus ist nicht nötig. Registrierung und Meldung sind nach Angaben des BSI in wenigen Minuten erledigt.

Was ab Dezember 2027 dazukommt

  • Sicherheit muss bereits in der Entwicklung berücksichtigt werden (Secure by Design).
  • Produkte müssen sicher voreingestellt ausgeliefert werden (Secure by Default).
  • Hersteller müssen eine Konformitätserklärung erstellen.
  • Sicherheitsupdates müssen mindestens fünf Jahre bereitgestellt werden.
  • Das BSI erarbeitet dazu die Technische Richtlinie TR-03183.

Der letzte Punkt ist der, der für Käufer zählt. Wer ab Ende 2027 ein vernetztes Gerät kauft, kann sich auf einen Mindestzeitraum für Sicherheitsupdates berufen. Bis dahin bleibt es beim Blick ins Kleingedruckte des Herstellers.

Sources

Every factual claim above is traceable to these documents. Check them — that is why they are here.

About this byline

Meridians Technik-Redaktion is an editorial desk at Meridians, not an individual. A desk byline means the article was produced and fact-checked to that desk's published standards. Read our editorial standards and corrections policy.

Anzeige

Paid placement · not editorial

Related reading

The Meridians Brief

One considered email a week

What changed, what it costs you, and what to do about it — from the Meridians desks. No sponsored picks disguised as recommendations.

Sign-up opens with our launch issue. Nothing is sent or stored yet.