CRA Meldepflicht 2026: 24h, 72h & ENISA SRP

CRA Meldepflicht ab 11. September 2026 – 24h, 72h und ENISA SRP

Ab dem 11. September 2026 greifen die operativen Meldepflichten des Cyber Resilience Act (CRA) für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle bei Produkten mit digitalen Elementen, die in den CRA-Anwendungsbereich fallen. Für betroffene Hersteller bedeutet das: Die interne Eskalation muss funktionieren, bevor der Ernstfall eintritt.

CRA Meldepflicht: was ab 11. September 2026 gilt

Die Meldungen laufen über die Single Reporting Platform (SRP) von ENISA. Die Plattform ist für die verpflichtenden CRA-Meldungen ab 11. September 2026 vorgesehen. Betroffen sein können insbesondere Hersteller von kommerzieller Software, Apps, IoT-Geräten, Embedded-Systemen, Netzwerkkomponenten und anderer Hardware oder Software mit digitalen Elementen – sofern das jeweilige Produkt in den Anwendungsbereich des CRA fällt.

24 Stunden: Frühwarnung

Nach Kenntnisnahme eines meldepflichtigen Ereignisses ist grundsätzlich innerhalb von 24 Stunden eine Frühwarnung erforderlich. Zu diesem Zeitpunkt müssen noch nicht sämtliche technischen Details abschließend geklärt sein. Entscheidend ist, dass das Unternehmen das Ereignis erkennt, intern eskaliert und die für die erste Meldestufe erforderlichen Informationen rechtzeitig vorbereitet.

72 Stunden: weiterführende Meldung

Innerhalb von 72 Stunden folgt eine weiterführende Meldung mit den zu diesem Zeitpunkt verfügbaren Informationen. Welche Felder in welcher Meldestufe erforderlich sind, ergibt sich aus der aktuellen ENISA-SRP-Feldlogik. ENISA weist ausdrücklich darauf hin, dass nicht jedes Feld bereits in der 24h-Frühwarnung Pflicht ist; einzelne Angaben werden erst in späteren Meldestufen erforderlich.

Abschlussbericht: Frist hängt vom Ereignistyp ab

  • Aktiv ausgenutzte Schwachstelle (AEV): Abschlussbericht spätestens 14 Tage nachdem eine Korrektur- oder Minderungsmaßnahme verfügbar ist.
  • Schwerer Sicherheitsvorfall (SI): Abschlussbericht innerhalb eines Monats nach der 72h-Meldung.

Was intern vor dem ersten Vorfall vorbereitet sein sollte

  • klarer Meldeweg vom Ersterkenner zur verantwortlichen Stelle
  • Rollen und Stellvertretungen für Security, Produkt, Management und Kommunikation
  • interne Triage für AEV und SI
  • Produkt- und Versionszuordnung
  • 24h-/72h-Fristüberwachung
  • ENISA-SRP-Feldmapping
  • Korrektur- und Minderungsmaßnahmen
  • Entscheidungs- und Eskalationslog
  • Dokumentation für den Abschlussbericht und Post-Incident-Review

Warum die Kenntnisnahme entscheidend ist

Ein kritischer operativer Punkt ist der Start der Frist. Unternehmen brauchen deshalb einen internen Prozess, der nicht erst bei der Rechts- oder Compliance-Abteilung beginnt. Security, Support, Entwicklung und Produktverantwortliche müssen wissen, an wen ein möglicher CRA-Fall sofort weitergegeben wird.

ENISA SRP: Felder verändern sich je Meldestufe

Das aktuelle ENISA-SRP-Glossar beschreibt für die einzelnen Felder, ob sie für eine aktiv ausgenutzte Schwachstelle oder einen schweren Sicherheitsvorfall gelten und in welcher Stufe sie benötigt werden. Dazu gehören unter anderem Ereignistyp, Titel, Produktinformationen, Beschreibung, Auswirkungen, Maßnahmen und weitere fallabhängige Angaben. Vor einer echten Meldung ist immer die aktuelle SRP-Oberfläche und die aktuelle ENISA-Guidance zu prüfen.

Praxishilfe: CRA Meldepflicht & Incident Response Kit

Das ProPraxisPlan CRA Meldepflicht & Incident Response Kit 2026/27 bildet den internen Ablauf von Erkennung und Triage über 24h- und 72h-Fristen bis zu Maßnahmen und Abschlussdokumentation ab.

Standard – 49,90 €: Fall-Dashboard, Incident- & Vulnerability-Register, ENISA-SRP-Feldmapping, Readiness-Prüfung, Maßnahmen-Tracker, RACI und Eskalationslog. Pro – 89,90 €: zusätzlich Produktregister, Management-Dashboard, erweiterte Triage, getrennte AEV-/SI-Workflows und Post-Incident-Review. Einmalkauf, kein Abo.

Weitere Systeme für strukturierte Verantwortlichkeiten, Fristen und Prozesse findest du unter Organisation & Planung.

Verwandtes Thema: Data Act 2026

Für Hersteller vernetzter Produkte läuft parallel ein zweiter wichtiger EU-Digitalregulierungs-Stichtag. Der Data Act gilt grundsätzlich bereits seit 12. September 2025; die Designpflicht aus Artikel 3 Absatz 1 gilt für vernetzte Produkte und zugehörige Dienste, die nach dem 12. September 2026 auf den Markt gebracht werden. Unser neuer Ratgeber erklärt den Unterschied zum CRA und zeigt einen praktischen Scope- und Datenzugangs-Check: Data Act 2026: Access by Design für vernetzte Produkte.

Häufige Fragen zur CRA-Meldepflicht

Ist jedes SaaS-Unternehmen automatisch betroffen?

Nein. Die CRA-Scope-Prüfung hängt vom konkreten Produkt und Geschäftsmodell ab. Das Kit nimmt keine rechtliche Einordnung vor.

Sendet das Excel-System eine Meldung an ENISA?

Nein. Es dient der internen Vorbereitung und Dokumentation. Die tatsächliche Meldung erfolgt durch das verantwortliche Unternehmen über die offizielle SRP.

Reicht ein Incident-Register allein aus?

Für die operative Friststeuerung sind zusätzlich Zuständigkeiten, Triage, Fristen, Feldmapping, Maßnahmen und Abschlussdokumentation wichtig.

Offizielle Quellen

Wichtiger Hinweis

Dieser Ratgeber dient der allgemeinen Orientierung. Er ersetzt keine Rechtsberatung, keine individuelle Prüfung des CRA-Anwendungsbereichs, keine Meldung an Behörden und keine CRA-Konformitätsbewertung oder Zertifizierung. ENISA kann Guidance, Oberfläche und Feldlogik aktualisieren. Stand: 9. September 2026.