/cra-meldepflichten

name: cra-meldepflichten
description: "Steuerung der CRA-Meldepflichten nach Art. 14 VO (EU) 2024/2847 ab dem 11.09.2026 – Abgrenzung aktiv ausgenutzte Schwachstelle gegenüber schwerwiegendem Sicherheitsvorfall, 24-Stunden-Frühwarnung, 72-Stunden-Vollmeldung, Abschlussbericht binnen 14 Tagen bzw. 1 Monat, Einreichung über die einheitliche Meldeplattform an das CSIRT des Mitgliedstaats der Hauptniederlassung bei paralleler Unterrichtung der ENISA, interner Eskalationsprozess und Dokumentation. Use when ein Hersteller einen laufenden Vorfall oder eine ausgenutzte Schwachstelle melden muss oder wenn vor dem 11.09.2026 der Melde- und Eskalationsprozess aufgebaut und gegen NIS2 und DSGVO abgegrenzt wird."
language: de
provider_variants: [claude, gemini, openai]
test: ./test.md

/cyber-resilience-act:cra-meldepflichten

Zweck

**Art. 14 CRA** ([VO (EU) 2024/2847](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847)) verpflichtet Hersteller von Produkten mit digitalen Elementen, **aktiv ausgenutzte Schwachstellen** und **schwerwiegende Sicherheitsvorfälle** in einer dreistufigen Kaskade zu melden. Die Pflicht gilt ab dem **11.09.2026** und ist damit die erste operative CRA-Pflicht überhaupt — mehr als ein Jahr vor der vollständigen Geltung. Dieser Skill bestimmt, ob ein meldepflichtiges Ereignis vorliegt, berechnet die Fristen, liefert die Meldeinhalte und baut den internen Eskalationsprozess, ohne den die 24-Stunden-Frist praktisch nicht einzuhalten ist.

> **⚠️ Aktualität (Stand 2026-07):** Die Verordnung ist am **10.12.2024 in Kraft** getreten. Die **Meldepflichten gelten ab dem 11.09.2026** — die Frist läuft in sieben Wochen. Seit dem **11.06.2026** gelten die Vorschriften über Konformitätsbewertungsstellen; die vollständige Geltung mit grundlegenden Anforderungen, CE-Kennzeichnung und Konformitätsbewertung folgt erst am **11.12.2027**. > > **Die Meldepflicht ist vorgezogen.** Sie greift, bevor die materiellen Produktanforderungen des Anhang I gelten. Ein Hersteller kann also meldepflichtig sein, obwohl seine Produkte die grundlegenden Anforderungen noch nicht erfüllen müssen. Wer auf 2027 plant, verfehlt den relevanten Stichtag um 15 Monate. > > **Sanktionsrahmen:** Verstöße gegen die zentralen Hersteller- und Meldepflichten sind mit **bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes** bewehrt, je nachdem, welcher Betrag höher ist (Art. 64 CRA).

Eingaben

• Betroffenes Produkt mit Version, Rolle des Mandanten (Hersteller / Verwalter quelloffener Software) und CRA-Einstufung
• Zeitpunkt der **Kenntniserlangung**, minutengenau, mit Beleg (Ticket, Log, Mail)
• Art des Ereignisses: Schwachstelle mit Ausnutzungsnachweis oder Sicherheitsvorfall
• Nachweise für die aktive Ausnutzung (Exploit in freier Wildbahn, Angriffsindikatoren, Meldung eines Forschers, CERT-Hinweis)
• Auswirkungen: betroffene Nutzerzahl, Verfügbarkeit, Vertraulichkeit, Integrität, grenzüberschreitende Wirkung
• Verfügbarkeit eines Sicherheitsupdates oder einer Umgehungslösung und deren Zeitpunkt
• Mitgliedstaat der **Hauptniederlassung** in der Union
• Parallel laufende Pflichtenkreise: NIS2-Einrichtung? Personenbezogene Daten betroffen? DORA-Finanzunternehmen?

Sub-Agent-Architektur

Drei gedankliche Rollen strukturieren die Bearbeitung, die im Ernstfall parallel und unter Zeitdruck läuft. Ein **Trigger-Prüfer** entscheidet als Erstes und binnen Minuten, ob ein meldepflichtiges Ereignis im Sinne des Art. 14 CRA vorliegt — aktiv ausgenutzte Schwachstelle oder schwerwiegender Sicherheitsvorfall — und hält den Zeitpunkt der Kenntniserlangung als fristauslösendes Ereignis fest. Ein **Fristen-Rechner** leitet daraus die drei Fälligkeiten ab, jeweils mit Datum und Uhrzeit, und überwacht sie bis zum Abschlussbericht. Ein **Melde-Redakteur** formuliert die Inhalte der jeweiligen Stufe adressatengerecht, ohne unnötige Details preiszugeben und ohne die Untersuchung zu präjudizieren. Der Trigger-Prüfer entscheidet im Zweifel **für** die Meldung: Die Frühwarnung ist bewusst niedrigschwellig ausgestaltet und kann in der Vollmeldung korrigiert werden.

Ablauf

1. Meldeauslöser bestimmen ([Art. 14 CRA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847))

Der CRA kennt **zwei getrennte Auslöser**. Sie sind sauber zu unterscheiden, weil die Frist für den Abschlussbericht unterschiedlich läuft.

**a) Aktiv ausgenutzte Schwachstelle.** Eine Schwachstelle in einem Produkt mit digitalen Elementen, für die belastbare Anhaltspunkte bestehen, dass ein Angreifer sie **tatsächlich ausnutzt** — ohne dass der Hersteller sie behoben oder öffentlich gemacht hat. Entscheidend ist die **Ausnutzung**, nicht die Schwere: Eine hoch bewertete, aber nicht ausgenutzte Schwachstelle löst die Meldepflicht nach Art. 14 CRA **nicht** aus; sie fällt in das Schwachstellenmanagement nach Anhang I Teil II.

Typische Anhaltspunkte: Exploit-Code in freier Wildbahn, Angriffsindikatoren aus Kundeninstallationen, Hinweis eines Sicherheitsforschers mit Proof of Concept in Verbindung mit beobachtetem Angriffsverkehr, Aufnahme in einen Katalog bekannt ausgenutzter Schwachstellen.

**b) Schwerwiegender Sicherheitsvorfall.** Ein Sicherheitsvorfall, der die Cybersicherheit des Produkts oder die Fähigkeit des Produkts, die Vertraulichkeit, Integrität oder Verfügbarkeit kritischer oder wesentlicher Funktionen zu schützen, **nachteilig beeinflusst**. Erfasst sind auch Vorfälle in der Entwicklungs- oder Auslieferungsinfrastruktur des Herstellers, soweit sie auf das Produkt durchschlagen — etwa ein kompromittierter Build-Server oder Signaturschlüssel.

> **Im Zweifel melden.** Die Frühwarnung verlangt keine abgeschlossene Analyse. Eine später als nicht meldepflichtig erkannte Frühwarnung ist folgenlos korrigierbar; eine versäumte 24-Stunden-Frist ist es nicht.

2. 24-Stunden-Frühwarnung ([Art. 14 CRA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847))

Fällig **innerhalb von 24 Stunden ab