Beitrag · Cyber Resilience Act
Cyber Resilience Act: Herstellerpflichten und die Meldepflicht nach Artikel 14
Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen, die Cybersicherheit ihres Produkts von der Konzeption bis zum Ende des Unterstützungszeitraums sicherzustellen, und Artikel 14 verlangt schon jetzt, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden zu melden. Die Meldepflicht gilt seit September 2026, die übrigen Pflichten ab Dezember 2027.
Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.
Die Zahl dahinter
Artikel 14 gilt seit dem 11. September 2026, also 15 Monate bevor die übrige Verordnung am 11. Dezember 2027 anwendbar wird. Quelle: Verordnung (EU) 2024/2847, Artikel 71 Absatz 2 (von Rekvira am 24. September 2026 geliefert)
Die Artikel, Fristen und Zahlen auf dieser Seite hat Rekvira am 24. September 2026 aus dem EUR-Lex-Text der Verordnung (EU) 2024/2847 geliefert. Die wörtlichen Zitate stammen aus der deutschen Fassung im Amtsblatt.
Ab wann gilt was?
Der Cyber Resilience Act gilt nicht auf einen Schlag. Artikel 71 staffelt ihn in drei Stufen, und die Meldepflicht ist die, die heute schon greift:
„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“ (Art. 71 Abs. 2)
Kapitel IV gilt (Artikel 35 bis 51): die Notifizierung von Konformitätsbewertungsstellen.
Artikel 14 gilt: Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle.
Die übrige Verordnung gilt, darunter die Herstellerpflichten aus Artikel 13 und die Pflichten von Einführern und Händlern.
Die Meldepflicht erfasst auch den Bestand. Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen der Verordnung grundsätzlich nur nach einer wesentlichen Änderung (Art. 69 Abs. 2), mit einer Ausnahme:
„Abweichend von Absatz 2 des vorliegenden Artikels gelten die in Artikel 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich dieser Verordnung fallen und vor dem 11. Dezember 2027 in den Verkehr gebracht wurden.“ (Art. 69 Abs. 3)
Wer ist Hersteller, Einführer oder Händler?
Die Pflichten hängen an der Rolle in der Lieferkette. Artikel 3 definiert sie so:
| Rolle | Definition (Art. 3) | Pflichten |
|---|---|---|
| Hersteller | entwickelt oder stellt Produkte mit digitalen Elementen her oder lässt sie herstellen und vermarktet sie „unter ihrem Namen oder ihrer Marke“ (Nr. 13) | Art. 13, Art. 14 |
| Einführer | in der Union ansässig, bringt ein Produkt unter dem Namen oder der Marke einer Person außerhalb der Union in Verkehr (Nr. 16) | Art. 19 |
| Händler | stellt ein Produkt in der Lieferkette „ohne Änderung seiner Eigenschaften“ auf dem Unionsmarkt bereit (Nr. 17) | Art. 20 |
lookup_obligations im aufgezeichneten Lauf geliefert.Die Grenze ist durchlässig. Nach Artikel 21 gilt ein Einführer oder Händler selbst als Hersteller und trägt die Pflichten aus Artikel 13 und 14, wenn er ein Produkt „unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder eine wesentliche Änderung“ daran vornimmt. Wer ein zugekauftes Produkt umlabelt, sollte die Herstellerpflichten also mitplanen.
Was muss ein Hersteller nach Artikel 13 tun?
Artikel 13 hat 25 Absätze. Die folgenden sechs Punkte bestimmen den Großteil der Arbeit in einem Produktprojekt:
- Das Produkt nach den grundlegenden Cybersicherheitsanforderungen aus Anhang I Teil I konzipieren, entwickeln und herstellen (Abs. 1).
- Eine Bewertung der Cybersicherheitsrisiken durchführen, dokumentieren und in allen Phasen von der Planung bis zur Wartung berücksichtigen (Abs. 2 und 3).
- Komponenten Dritter mit der gebotenen Sorgfalt einbinden, auch Open-Source-Komponenten, und gefundene Schwachstellen an deren Hersteller oder Betreuer melden (Abs. 5 und 6).
- Einen Unterstützungszeitraum festlegen, in dem Schwachstellen wirksam behandelt werden. Er beträgt „mindestens fünf Jahre“, es sei denn, das Produkt ist voraussichtlich kürzer im Betrieb (Abs. 8).
- Jede Sicherheitsaktualisierung nach ihrer Bereitstellung mindestens zehn Jahre oder für den Rest des Unterstützungszeitraums verfügbar halten, je nachdem, was länger ist (Abs. 9).
- Vor dem Inverkehrbringen technische Dokumentation erstellen, das Konformitätsbewertungsverfahren durchführen, die EU-Konformitätserklärung ausstellen und die CE-Kennzeichnung anbringen (Abs. 12). Dokumentation und Erklärung mindestens zehn Jahre aufbewahren (Abs. 13).
Welche Fristen setzt die Meldepflicht?
Artikel 14 kennt zwei Auslöser: die aktiv ausgenutzte Schwachstelle (Abs. 1) und den schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt (Abs. 3). Beide gehen gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA, über die einheitliche Meldeplattform nach Artikel 16. Eine Schwachstelle gilt als aktiv ausgenutzt, wenn „verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“ (Art. 3 Nr. 42).
| Stufe | Aktiv ausgenutzte Schwachstelle (Abs. 2) | Schwerwiegender Sicherheitsvorfall (Abs. 4) |
|---|---|---|
| Frühwarnung | binnen 24 Stunden nach Kenntnis | binnen 24 Stunden nach Kenntnis |
| Meldung | binnen 72 Stunden nach Kenntnis | binnen 72 Stunden nach Kenntnis |
| Abschlussbericht | spätestens 14 Tage, nachdem eine Korrektur oder Risikominderung verfügbar ist | innerhalb eines Monats nach der Meldung |
Zuständig ist das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat. Das ist nach Artikel 14 Absatz 7 der Staat, in dem die Entscheidungen zur Cybersicherheit seiner Produkte überwiegend getroffen werden. Hersteller ohne Niederlassung in der Union folgen einer Reihenfolge, die beim Bevollmächtigten beginnt, dann beim Einführer und beim Händler.
24 Std.
Frühwarnung bei Schwachstelle oder Vorfall
72 Std.
vollständigere Meldung
14 Tage
bis zum Abschlussbericht, nachdem die Korrektur verfügbar ist
5 Jahre
Mindestdauer des Unterstützungszeitraums (Art. 13 Abs. 8)
Aufgezeichneter Lauf
Die Frage:Welche Pflichten hat ein Hersteller nach dem Cyber Resilience Act, und ab wann gilt die Meldepflicht?
list_regulations()Prüfen, dass der Cyber Resilience Act geladen ist, und den Textstand lesen.
read_unit(regulation="cra", kind="article", number="71")Die Geltungsdaten aus dem Artikel selbst, nicht aus einer Zusammenfassung.
"This Regulation shall apply from 11 December 2027." und "Article 14 shall apply from 11 September 2026"
read_unit(regulation="cra", kind="article", number="14")Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle im Wortlaut.
"within 24 hours of the manufacturer becoming aware of it", "within 72 hours" und "no later than 14 days after a corrective or mitigating measure is available"
read_unit(regulation="cra", kind="article", number="69")Übergangsbestimmungen: gilt die Meldepflicht auch für Produkte, die schon auf dem Markt sind?
"the obligations laid down in Article 14 shall apply to all products with digital elements"
read_unit(regulation="cra", kind="article", number="13")Die Pflichten des Herstellers vollständig lesen.
Artikel 13 in 25 Absätzen, darunter "the support period shall be at least five years"
lookup_obligations(regulation="cra", role="manufacturer")Welche Artikel der Verordnung sich im Titel an Hersteller richten.
Vier Artikel mit Herstellern im Titel: "Obligations of manufacturers", "Reporting obligations of manufacturers", "Article 21" und "Article 22"
lookup_obligations(regulation="cra", role="importer")Dasselbe für Einführer.
"Obligations of importers"
lookup_obligations(regulation="cra", role="distributor")Dasselbe für Händler.
"Obligations of distributors"
read_unit(regulation="cra", kind="article", number="3")Die Begriffe Hersteller, Einführer, Händler und Wirtschaftsakteur.
"‘manufacturer’ means a natural or legal person who develops or manufactures products with digital elements"
verify_citation(regulation="cra", citation="Article 14(1)")Die Fundstelle prüfen, bevor sie zitiert wird.
Echte Aufrufe an Rekviras Produktionsserver, aufgezeichnet am 24. September 2026. Textstand des Korpus: 2. September 2026. Rekvira liefert den englischen EUR-Lex-Text; die deutschen Zitate auf dieser Seite stammen aus der deutschen Fassung im Amtsblatt.
Grenzen
Rekvira liefert den Text der Verordnung mit Fundstelle und Textstand. Ob Ihr Produkt ein Produkt mit digitalen Elementen ist, in welche Kategorie es fällt und welches Konformitätsbewertungsverfahren passt, beurteilen Sie selbst. Durchführungsrechtsakte, harmonisierte Normen, Leitlinien der Kommission und das deutsche Durchführungsgesetz sind nicht im Korpus.
So geht es in Ihrem Assistenten
Lies mit Rekvira die Artikel 13, 14 und 71 des Cyber Resilience Act.
Für ein Produkt, das ich dir beschreibe: Sag mir, welche Rolle wir nach Artikel 3 haben,
welche Meldefristen aus Artikel 14 gelten und ab welchem Datum, jeweils mit Fundstelle.Fügen Sie dies in Claude, ChatGPT, Cursor oder einen anderen MCP-Client ein, der mit https://mcp.rekvira.com/mcp verbunden ist. Zum Start braucht es kein Konto.Einrichtung je Client (Englisch)
Fundstellen in Ihrer KI.
Ohne Konto und ohne Schlüssel testen; während der Founding Beta wird nichts berechnet.
https://mcp.rekvira.com/mcp