CRA-Checkliste Meldepflichten
Sieben Themenbereiche, 25 Checkpoints. Was bis zum Stichtag stehen muss.
Am 11. September 2026 greifen die Meldepflichten des Cyber Resilience Act. Ab dann muss ein Hersteller eine aktiv ausgenutzte Schwachstelle in seinem Produkt melden, und zwar in Fristen, die keinen Aufbau mehr zulassen.
Die Checkliste geht die Vorbereitung in sieben Themenbereichen durch, vom Schwachstellenmanagement über den Meldekanal für Sicherheitsforscher bis zur Meldung selbst. Jeder Checkpoint nennt das Ziel des Bereichs und danach die einzelne Handlung, die dafür nötig ist.
Der erste Bereich ist der, an dem es meistens hängt: ohne Stückliste der eigenen Softwarekomponenten kein Abgleich gegen Schwachstellendatenbanken, ohne Abgleich keine Kenntnis, und ohne Kenntnis keine Meldung. Der zweite Bereich ist der, den viele übersehen: Sicherheitsforscher brauchen einen öffentlich benannten Weg, Fundstellen zu melden, bevor sie sie veröffentlichen.
Kostenfrei und ohne Anmeldung. Vier Seiten A4 zum Abarbeiten.
Für wen die Pflichten gelten
Für Hersteller von Produkten mit digitalen Elementen, die in der EU auf den Markt kommen. Das ist mehr, als der Begriff vermuten lässt: Es trifft auch Maschinenbauer, Medizintechnik und jeden, der Software mit seinem Gerät ausliefert. Wer nicht meldet, riskiert Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Grundlage: Art. 14 und Art. 16 der Verordnung (EU) 2024/2847, Bußgeldrahmen nach Art. 64. Die Checkliste ist eine Orientierungshilfe und ersetzt keine Rechtsberatung.
Weiter im Thema
Wenn die Checkliste zeigt, dass mehr fehlt als ein Meldeweg: