Cyber Resilience Act (CRA): Meldepflichten seit 11.9.2026

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist für viele Unternehmen bereits ein Begriff. Er verpflichtet Hersteller vernetzter Produkte zu CE-Kennzeichnung, technischer Dokumentation und Konformitätsbewertung. Diese Anforderungen werden ab dem 11.12.2027 verbindlich.
Wer seine CRA-Vorbereitung ausschließlich auf diesen Stichtag ausrichtet, übersieht jedoch einen entscheidenden Punkt: Die Melde- und Reportingpflichten nach Artikel 14 gelten bereits seit dem 11.9.2026.
 

Betrifft der CRA mein Unternehmen?

3 Fragen helfen bei der Einordnung: 

• Wird ein Produkt mit Software oder Firmware in der EU angeboten, etwa eine Anwendung, eine SaaS-Komponente, ein Betriebssystem, eine Bibliothek oder ein IoT-Gerät? 
• Verfügt dieses Produkt über eine direkte oder indirekte Datenverbindung?
• Ist das Produkt von CRA ausgenommen (z.B. bestimmte Medizinprodukte, Fahrzeuge, Luftfahrttechnik oder nicht kommerzielle Open-Source-Software)?

Wer fremde Produkte lediglich weiterverkauft, ist in der Regel kein Hersteller im Sinne des CRA. Wer jedoch eigene Software oder vernetzte Produkte entwickelt und in der EU auf den Markt bringt, fällt grundsätzlich in den Anwendungsbereich und damit voll in die Pflicht.
 

Meldefristen nach Artikel 14 CRA

Meldepflichtig sind aktiv ausgenutzte Schwachstellen, also Fälle, in denen belastbare Hinweise existieren, dass eine Lücke unbefugt ausgenutzt wird, sowie schwere Sicherheitsvorfälle mit Auswirkung auf die Produktsicherheit. Dabei spielt es keine Rolle, auf welchem Weg die Schwachstelle bekannt geworden ist.
In Österreich erfolgt die Meldung an das Bundeskanzleramt (BKA). Es gelten folgende Fristen:

• 24 Stunden
  • Erste Meldung ab Kenntnis der aktiv ausgenutzten Schwachstelle oder des schweren Sicherheitsvorfalls
• 72 Stunden
  • Vertiefende Meldung mit detaillierteren Informationen sowie einer Darstellung der ergriffenen Korrektur- oder Abhilfemaßnahmen
• 14 Tage bzw. 1 Monat
  • Abschlussbericht mit konsolidierten Erkenntnissen und dokumentierten Maßnahmen

Diese Fristen erinnern an die Anforderungen aus der DSGVO und dem Netz- und Informationssystemsicherheitsgesetz (NISG). Die Praxis zeigt: Realistisch einhaltbar sind sie nur, wenn Meldeprozesse, Zuständigkeiten und Kommunikationswege im Vorfeld klar definiert und regelmäßig geübt sind.
 

Sanktionen: Was bei Verstößen droht 

Verstöße gegen die grundlegenden Sicherheitsanforderungen oder gegen zentrale Pflichten können zu empfindlichen Geldbußen führen:

• bis zu EUR 15 Mio. oder
• bis zu 2,5% des weltweiten Jahresumsatzes,
• je nachdem, welcher Betrag höher ist.

Damit bewegt sich der CRA in einer ähnlichen Größenordnung wie die DSGVO oder das NISG 2026. Ein fehlendes oder unzureichendes Melde- und Sicherheitskonzept ist nicht nur ein technisches, sondern auch ein erhebliches wirtschaftliches Risiko.
 

CRA-Checkliste: Diese 3 Schritte sollten Unternehmen jetzt setzen

• Betroffenheit abklären: Prüfen Sie, ob Ihr Unternehmen vom CRA betroffen ist. Identifizieren Sie konkret, welche Produkte (Software, Firmware, IoT-Geräte, Plattformen, Komponenten) unter den CRA fallen. Klären Sie zudem die Verantwortlichkeiten (Produktmanagement, Entwicklung, Security, Legal).
• Meldeprozesse umsetzen: Die Meldepflicht gilt auch für Produkte, die bereits vor dem 11.9.2026 auf dem EU-Markt bereitgestellt wurden. Definieren Sie klare Rollen für Erkennung, Bewertung und Meldung von Vorfällen sowie standardisierte Abläufe für die interne Kommunikation. Testen Sie diese Abläufe (z.B. durch Incident-Response-Übungen), damit die knappen Fristen wirklich eingehalten werden können.
• Umsetzungsplan erstellen: Neben den Meldepflichten verlangt der CRA noch weitere Anforderungen (z.B. Risikobewertung, vollständige technische Dokumentation, Software Bill of Materials etc.). Erstellen Sie einen strukturierten Umsetzungsplan, damit alle relevanten Anforderungen bis spätestens Dezember 2027 erfüllt sind. Idealerweise integrieren sich die Maßnahmen in bestehende Informationssicherheits- und Compliance-Frameworks (z.B. ISO 27001, NISG, DSGVO).