Meldepflichten des EU Cyber Resilience Act treten in Kraft

Hersteller von Produkten mit digitalen Elementen (Hard- und Software, vom Router bis zur Smart-Home-App) müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle ab sofort innerhalb von 24 Stunden als Frühwarnung, innerhalb von 72 Stunden vollständig und mit Abschlussbericht binnen 14 Tagen bzw. eines Monats über die von der ENISA betriebene Single Reporting Platform melden. Die Pflicht gilt auch für Produkte, die vor der vollen Anwendbarkeit des CRA im Dezember 2027 in Verkehr gebracht wurden.

Der Stichtag ergibt sich aus Art. 71 der Verordnung (EU) 2024/2847 (Cyber Resilience Act), die am 10.12.2024 in Kraft trat: Die Meldepflichten nach Art. 14 gelten ab dem 11.09.2026, die Konformitätsbewertungsstellen-Regeln bereits seit Juni 2026, die vollständigen Produktanforderungen ab dem 11.12.2027. Die ENISA nahm die Single Reporting Platform zum selben Tag in Betrieb; Meldungen gehen von dort an die zuständigen nationalen CSIRTs (Crowell & Moring, Freshfields, 11.09.2026).