Zuletzt aktualisiert: September 2026 · Titelbild KI-generiert. Redaktionelle Verantwortung: RA Christian Kramarz.
Das Wichtigste in Kürze: CRA-Meldepflicht
- Seit dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act (Art. 14 VO (EU) 2024/2847): Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden vorwarnen und binnen 72 Stunden melden.
- Betroffen sind alle „Produkte mit digitalen Elementen“ – Hardware, Firmware, Apps, Desktop-Software und Cloud-Komponenten, die zur Funktion des Produkts gehören. Reine SaaS ohne Produktbezug ist nicht erfasst.
- Die Pflicht gilt auch für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
- Die übrigen CRA-Pflichten (Konformitätsbewertung, SBOM, CE-Kennzeichnung, Support-Zeitraum) greifen ab dem 11. Dezember 2027; Bußgelder bis 15 Mio. Euro oder 2,5 % des Jahresumsatzes.
- Für Ihre Verträge heißt das: Meldeprozess, Schwachstellen-Handling und Update-Pflichten gehören jetzt in AGB, Lizenz- und Lieferantenverträge. Wir prüfen Betroffenheit und Vertragswerk: kostenlose Ersteinschätzung.
Was seit dem 11. September 2026 gilt
Der Cyber Resilience Act ist seit Dezember 2024 in Kraft; die meisten Pflichten werden erst ab dem 11. Dezember 2027 anwendbar. Die Meldepflichten aus Art. 14 CRA sind die Ausnahme: Sie gelten seit dem 11. September 2026 – und zwar für jedes Produkt mit digitalen Elementen, das in der EU auf dem Markt ist, unabhängig davon, ob es vor oder nach dem Stichtag in Verkehr gebracht wurde.
Gemeldet werden muss zweierlei:
- Aktiv ausgenutzte Schwachstellen im eigenen Produkt, von denen der Hersteller Kenntnis erlangt.
- Schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken – etwa eine Kompromittierung der Update-Infrastruktur oder des Build-Systems.
Gemeldet wird einmalig über die CRA Single Reporting Platform (CRA-SRP) der ENISA, die die Meldung an das zuständige nationale CSIRT weiterleitet. In Deutschland ist das BSI als zuständige Behörde vorgesehen; das CRA-Durchführungsgesetz, das dem BSI die Marktüberwachung überträgt, befindet sich noch im Gesetzgebungsverfahren (BT-Drs. 21/6134) – an der Meldepflicht selbst ändert das nichts, sie folgt unmittelbar aus der Verordnung.
Die Fristen im Überblick
| Schritt | Frist | Inhalt |
|---|---|---|
| Frühwarnung | 24 Stunden nach Kenntnis | Angabe, dass eine ausgenutzte Schwachstelle oder ein Vorfall vorliegt; ggf. betroffene Mitgliedstaaten |
| Schwachstellen- bzw. Vorfallsmeldung | 72 Stunden nach Kenntnis | Art und Schwere, Bewertung, bereits ergriffene Abhilfe |
| Abschlussbericht | 14 Tage nach Sicherheitsupdate oder Workaround (Schwachstelle) bzw. 1 Monat nach der Vorfallsmeldung | Beschreibung, Ursache, Wirkung, Gegenmaßnahmen |
Zusätzlich müssen Hersteller ihre Nutzer unverzüglich über den Vorfall und über Abhilfemaßnahmen informieren – eine Pflicht, die unmittelbar in Ihre Kundenkommunikation und Ihre Vertragsdokumente eingreift.
Bin ich betroffen? Prüfschema in fünf Schritten
Schritt 1 – Ist es ein „Produkt mit digitalen Elementen“?
Erfasst ist jedes Software- oder Hardwareprodukt einschließlich Fernverarbeitungslösungen, das direkt oder indirekt mit einem anderen Gerät oder Netz verbunden werden kann. Klassische Beispiele: Betriebssysteme, Browser, Passwortmanager, VPN-Clients, Router, Smart-Home-Geräte, Industriesteuerungen, aber auch jede Business-Anwendung, die lokal installiert wird oder eine Netzverbindung nutzt.
Schritt 2 – SaaS oder Produkt?
Reine Cloud-Dienste ohne Produktbezug fallen nicht unter den CRA (dafür gelten NIS2 und der Data Act). Anders ist es, wenn Ihr Cloud-Backend zur Funktion eines Produkts gehört – etwa die App eines Smart-Home-Geräts, ein Desktop-Client mit Cloud-Sync oder ein Firmware-Update-Server. Diese „Fernverarbeitung“ ist Teil des Produkts und damit CRA-pflichtig. Genau hier liegen die meisten Fehleinschätzungen.
Schritt 3 – Bin ich Hersteller?
Hersteller ist, wer das Produkt entwickelt oder entwickeln lässt und unter eigenem Namen vermarktet. Das trifft auch Auftraggeber, die Software bei einer Agentur oder einem Dienstleister entwickeln lassen und unter eigener Marke vertreiben. White-Label-Anbieter und Importeure haben eigene Pflichten.
Schritt 4 – Open Source?
Wer Open-Source-Software nicht kommerziell vertreibt, ist ausgenommen; wer sie kommerziell einsetzt, monetarisiert oder als „Open-Source-Software-Verwalter“ (Steward) betreut, hat ein reduziertes Pflichtenprogramm – die Meldepflicht bleibt beim Verwalter in abgeschwächter Form bestehen.
Schritt 5 – Sind Vorprodukte betroffen?
Auch Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen der Meldepflicht, sobald eine aktiv ausgenutzte Schwachstelle bekannt wird. Für Altprodukte ohne aktiven Support besteht also ein reales Melde- und Haftungsrisiko.
Was der CRA in Ihren Verträgen ändert
Der CRA ist Produktrecht, seine Folgen sind aber vertragsrechtlich. Fünf Punkte, die jetzt in Ihre AGB, Lizenz-, SaaS- und Entwicklungsverträge gehören:
- Meldeweg und Kooperationspflicht. Wer erfährt zuerst von einer Schwachstelle – Sie, Ihr Kunde, Ihr Entwicklungsdienstleister? Der Vertrag muss regeln, dass Informationen unverzüglich weitergegeben werden, damit die 24-Stunden-Frist überhaupt einzuhalten ist.
- Schwachstellen-Handling und Update-Bereitstellung. Der CRA verpflichtet zur unentgeltlichen Bereitstellung von Sicherheitsupdates während des Support-Zeitraums. Vertraglich vereinbarte Wartungsentgelte für Sicherheitsfixes werden angreifbar.
- Support-Zeitraum. Mindestens fünf Jahre bzw. die erwartete Nutzungsdauer – Ihre Lizenzbedingungen und End-of-Life-Klauseln müssen dazu passen.
- Zulieferer und Komponenten. Wer fremde Komponenten (Bibliotheken, Module, Hardware) einbaut, muss Meldungen des Zulieferers empfangen und weitergeben; Entwicklungsverträge brauchen entsprechende Mitwirkungs- und Informationspflichten.
- Kundeninformation und Haftung. Die Pflicht, Nutzer über Vorfälle zu informieren, kollidiert mit Geheimhaltungsklauseln und Haftungsbegrenzungen. Beides ist neu abzustimmen – auch mit Blick auf die neue Produkthaftungsrichtlinie, die Software ab Dezember 2026 als Produkt erfasst.
Sanktionen – und warum das Warten teuer wird
Bußgelder nach dem CRA können erst ab dem 11. Dezember 2027 verhängt werden; die Meldepflicht besteht aber bereits. Marktüberwachungsbehörden dokumentieren Verstöße ab jetzt, und Kunden können sich in Vertragsverhandlungen und Ausschreibungen auf fehlende CRA-Prozesse berufen. Für Verstöße gegen die Hersteller- und Meldepflichten drohen später bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes.
Vier Sofortmaßnahmen
- Produktinventar erstellen und jedes Produkt nach dem Prüfschema einordnen (inkl. Cloud-Komponenten).
- Internen Meldeprozess mit Zuständigkeiten, Eskalation und Vorlagen für die 24-/72-Stunden-Meldung festlegen; Zugang zur EU-Meldeplattform einrichten.
- Verträge mit Kunden und Entwicklungsdienstleistern auf Meldeweg, Update-Pflicht, Support-Zeitraum und Haftung prüfen.
- Kommunikationsvorlage für die Nutzerinformation vorbereiten – abgestimmt mit Datenschutz (Art. 33/34 DSGVO) und ggf. NIS2-Meldepflichten, damit ein Vorfall nicht drei widersprüchliche Meldungen auslöst.
Kostenlose Ersteinschätzung
CRA-Betroffenheit und Vertragswerk prüfen lassen
Wie wir Sie unterstützen
Wir sind Fachanwaltskanzlei für IT-Recht und beraten Software-Hersteller, SaaS-Anbieter und Hardware-Unternehmen zu CRA, NIS2 und Data Act – von der Betroffenheitsanalyse über die Anpassung von AGB, Lizenz- und Lieferantenverträgen bis zur Begleitung eines konkreten Sicherheitsvorfalls. Sie erhalten eine Einordnung, welche Stichtage für welches Ihrer Produkte tatsächlich gelten.
Kostenlose Ersteinschätzung
CRA-Betroffenheit und Vertragswerk prüfen lassen
Kurz schildern, worum es geht – wir melden uns kurzfristig zurück.
Häufig gestellte Fragen (FAQ)
Gilt die CRA-Meldepflicht auch für SaaS?
Reine Cloud-Dienste ohne Produktbezug sind nicht erfasst. Gehört die Cloud-Komponente aber zur Funktion eines Software- oder Hardwareprodukts (Fernverarbeitung), unterliegt sie dem CRA – einschließlich der Meldepflicht.
Was ist eine „aktiv ausgenutzte“ Schwachstelle?
Eine Schwachstelle, für die belastbare Hinweise vorliegen, dass Angreifer sie ohne Erlaubnis des Herstellers gegen ein System tatsächlich ausgenutzt haben. Theoretische Lücken oder Scanner-Funde ohne Ausnutzungsnachweis lösen die Meldepflicht nicht aus, sollten aber im Schwachstellenmanagement dokumentiert werden.
Muss ich auch alte Produkte melden, die ich nicht mehr verkaufe?
Ja, wenn sie in der EU in Verkehr gebracht wurden und eine aktiv ausgenutzte Schwachstelle bekannt wird. Die Meldepflicht knüpft an die Kenntnis an, nicht an das Vertriebsdatum.
Wer ist Hersteller, wenn ich Software extern entwickeln lasse?
Wer das Produkt unter eigenem Namen oder eigener Marke vermarktet, ist Hersteller – auch bei Fremdentwicklung. Der Entwicklungsvertrag muss dann sicherstellen, dass der Dienstleister Schwachstellen unverzüglich meldet.
Können ab jetzt Bußgelder verhängt werden?
Nein, die Bußgeldvorschriften gelten erst ab dem 11. Dezember 2027. Die Meldepflicht besteht aber bereits; Verstöße werden dokumentiert und können vertraglich und haftungsrechtlich relevant werden.
Was muss jetzt in meine AGB?
Mindestens: Meldeweg und Mitwirkungspflicht des Kunden bei Sicherheitsvorfällen, Regelung zu Sicherheitsupdates während des Support-Zeitraums, Definition des Support-Zeitraums sowie eine mit der Nutzerinformationspflicht vereinbare Geheimhaltungs- und Haftungsklausel.
