Cyber Resilience Act: Hersteller melden aktiv ausgenutzte Schwachstellen ab dem 11. September 2026 binnen 24 Stunden nach Kenntnis
Die Verordnung (EU) 2024/2847 zieht die Meldepflicht um mehr als ein Jahr vor. Wie lange Hersteller Sicherheitsupdates zusagen müssen, gilt erst für Geräte, die ab dem 11. Dezember 2027 in den Verkehr kommen oder danach wesentlich geändert werden.
Bietigheim-Bissingen, 08.09.2026 (PresseBox) - Hersteller vernetzter Produkte melden aktiv ausgenutzte Schwachstellen ab dem 11. September 2026 binnen 24 Stunden nach Kenntnis. Eine Schwachstellenmeldung folgt unverzüglich, spätestens 72 Stunden nach Kenntnis, soweit die Angaben nicht schon in der Frühwarnung enthalten waren. Grundlage ist Artikel 14 der Verordnung (EU) 2024/2847.
Was erfasst ist und ab wann es gilt
Erfasst sind nach Artikel 2 Produkte, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte, logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. Artikel 2 nennt Ausnahmen, etwa für Medizinprodukte und Fahrzeuge. Vernetzte Rauchmelder, Saugroboter und Thermostate fallen in der Regel darunter, wie die Übersicht sprachgesteuerter Heizungsthermostate zeigt.
Der Cyber Resilience Act trat am 10. Dezember 2024 in Kraft und gilt gemäß Artikel 71 Absatz 2 im Grundsatz erst ab dem 11. Dezember 2027. Vorgezogen sind Kapitel IV über die Notifizierung von Konformitätsbewertungsstellen (Artikel 35 bis 51) seit dem 11. Juni 2026 und Artikel 14 ab dem 11. September 2026. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) greift für Hersteller zuerst die Meldepflicht.
Wer meldet und wer die Meldung empfängt
Artikel 14 verpflichtet den Hersteller des Produkts mit digitalen Elementen, aktiv ausgenutzte Schwachstellen (Absätze 1 und 2) und schwerwiegende Sicherheitsvorfälle (Absätze 3 und 4) zu melden. Nach Artikel 21 gilt ein Einführer oder Händler als Hersteller, wenn er das Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder wesentlich ändert. Nach Artikel 22 gilt auch, wer weder Hersteller, Einführer noch Händler ist, als Hersteller, wenn er ein Produkt wesentlich ändert und bereitstellt – je nach Reichweite der Änderung begrenzt auf den geänderten Teil. Für Verwalter quelloffener Software gilt Artikel 14 Absatz 1, soweit sie an der Entwicklung beteiligt sind.
Empfänger sind nach Artikel 14 Absatz 7 gleichzeitig die EU-Agentur für Cybersicherheit (ENISA) und das als Koordinator benannte Computer-Notfallteam (CSIRT) des Mitgliedstaats der Hauptniederlassung in der Union. Hat der Hersteller keine Hauptniederlassung in der Union, bestimmt Artikel 14 Absatz 7 das zuständige CSIRT über eine Rangfolge, die beim Mitgliedstaat des Bevollmächtigten beginnt.
Welche Fristen für die Meldung gelten
Artikel 14 staffelt beide Meldeketten nach den Absätzen 2 und 4:
- Frühwarnung: unverzüglich, spätestens 24 Stunden nach Kenntnis; bei Schwachstellen mit Angabe der Mitgliedstaaten, in deren Hoheitsgebiet das Produkt seiner Kenntnis nach bereitgestellt wurde.
- Meldung, soweit noch nicht vorgelegt: unverzüglich, spätestens 72 Stunden nach Kenntnis.
- Abschlussbericht, soweit noch nicht vorgelegt: bei einer Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, bei einem Sicherheitsvorfall binnen eines Monats nach Übermittlung der 72-Stunden-Meldung.
Wie lange Hersteller Schwachstellen behandeln
Der Unterstützungszeitraum nach Artikel 13 beträgt mindestens fünf Jahre; in ihm behandeln Hersteller Schwachstellen wirksam. Kürzer darf er nur ausfallen, wenn das Produkt voraussichtlich weniger als fünf Jahre im Betrieb ist. Artikel 13 erfasst nach Artikel 69 Absatz 2 nur Produkte, die ab dem 11. Dezember 2027 in den Verkehr gebracht oder danach wesentlich geändert werden. Nach Artikel 69 Absatz 3 gilt die Meldepflicht dagegen auch für Bestandsgeräte.
Der Ratgeber zur smarten Babyüberwachungskamera mit Funknetz-Anbindung und App nennt drei Kaufkriterien: Verschlüsselung, regelmäßige Firmware-Updates und ein eigenes Passwort. Anhang I Teil I Nummer 2 nennt Verschlüsselung als Beispiel, die sichere Standardkonfiguration ebenfalls – beides gilt nur, soweit zutreffend, und auf Grundlage einer Risikobewertung. Die Pflichten zur Schwachstellenbehandlung in Teil II gelten ohne diesen Vorbehalt. Ein eigenes Passwort setzt der Nutzer.
Welche Geldbußen ab Dezember 2027 drohen und für wen nicht
Sanktionen legen gemäß Artikel 64 die Mitgliedstaaten fest; er gilt erst ab dem 11. Dezember 2027. Der deutsche Durchführungsentwurf (Bundestagsdrucksache 21/6134) ist noch nicht beschlossen; seine Bußgeldvorschriften sollen ebenfalls am 11. Dezember 2027 in Kraft treten. Artikel 64 Absatz 2 sieht bei Verstößen gegen die Meldepflichten Geldbußen bis 15 000 000 Euro vor, bei Unternehmen bis 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.
Artikel 64 Absatz 10 nimmt Hersteller, die Kleinst- oder Kleinunternehmen sind, von diesen Geldbußen aus, soweit sie eine der 24-Stunden-Fristen versäumen. Die Meldepflicht selbst bleibt bestehen. Verwalter quelloffener Software sind ebenfalls von den Geldbußen ausgenommen; ihre Pflichten aus Artikel 24 bleiben davon unberührt.
„Der 11. September 2026 verschiebt keine Technik, sondern eine Erwartung“, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.
Wohin die Meldungen ab 2027 gehen
Ab dem 11. September 2026 informieren Hersteller nach Artikel 14 Absatz 8 die betroffenen Nutzer über aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Artikel 14 verlangt die Meldung über die einheitliche Plattform nach Artikel 16.
Artikel 16 selbst – Plattform, Weiterleitung an andere CSIRT, Bereitstellung an die Marktüberwachung – gilt nach Artikel 71 Absatz 2 erst ab dem 11. Dezember 2027. Unter außergewöhnlichen Umständen, insbesondere auf Antrag des Herstellers, kann die Verbreitung an andere CSIRT aus berechtigten Cybersicherheitsgründen so lange aufgeschoben werden, wie unbedingt erforderlich; die ENISA ist zu unterrichten.
Der vorstehende Überblick ist allgemeine Information, keine Rechtsberatung; im Einzelfall klärt das eine rechtliche Beratung.
