Ab dem 11. September 2026 gilt Artikel 14 des Cyber Resilience Act: Hersteller, Importeure und Vertreiber von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden – rückwirkend auch für bereits im Markt befindliche Produkte.
Wer Produkte mit digitalen Elementen (Hardware, Software, IoT-Geräte, Maschinensteuerungen) entwickelt oder herstellt und in der EU in Verkehr bringt.
Wer Produkte mit digitalen Elementen aus Nicht-EU-Ländern in die EU einführt und unter eigenem Namen vermarktet.
Wer solche Produkte in der Lieferkette bereitstellt, trägt eingeschränkte, aber eigenständige Sorgfaltspflichten.
| Verstoß | Max. Bußgeld |
|---|---|
| Verstoß gegen wesentliche Sicherheitsanforderungen | 15 Mio. € / 2,5 % Jahresumsatz |
| Sonstige Pflichtverletzungen (z. B. Kennzeichnung) | 10 Mio. € / 2 % Jahresumsatz |
| Falsche oder unvollständige Angaben an Behörden | 5 Mio. € / 1 % Jahresumsatz |
Die Meldepflicht nach Artikel 14 gilt ab 11. September 2026 ausdrücklich auch für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden – ein Bestandsschutz existiert nicht.
Erstmeldung an die ENISA-Meldeplattform innerhalb von 24 Stunden nach Kenntnisnahme einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls.
Ausführliche Meldung mit erster Bewertung von Schweregrad und Auswirkungen binnen 72 Stunden.
Finale Meldung 14 Tage nach erfolgreicher Behebung, spätestens jedoch einen Monat nach dem Vorfall.
Kontinuierlicher Prozess zur Identifikation, Bewertung und Behebung von Schwachstellen über den gesamten Produktlebenszyklus.
Wer jetzt handelt, statt abzuwarten, sichert sich Marktzugang und Vertrauen – während viele Wettbewerber noch unvorbereitet sind.
Frühzeitige Integration von Sicherheitsanforderungen reduziert spätere Nacharbeit und teure Last-Minute-Umbauten.
CRA-Konformität ist ab Dezember 2027 Voraussetzung für die CE-Kennzeichnung digitaler Produkte in der EU.
Öffentliche Auftraggeber und Großkunden fragen CRA-Konformität zunehmend aktiv ab.
Wer bereits NIS2-Risikomanagement betreibt, kann CRA-Prozesse direkt darauf aufbauen statt neu zu beginnen.
Ein etabliertes Informationssicherheits-Managementsystem nach ISO 27001 liefert die Prozesse, um Schwachstellen systematisch zu erkennen, zu bewerten und fristgerecht zu melden – die Basis für CRA-Konformität.
Mehr zu ISO 27001Artikel 14 des CRA: die Pflicht für Hersteller, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in Produkten mit digitalen Elementen über die zentrale ENISA-Meldeplattform zu melden.
Ja. Anders als die vollständigen Herstellerpflichten, die erst ab 11. Dezember 2027 für neu in Verkehr gebrachte Produkte gelten, erfasst die Meldepflicht ab September 2026 ausdrücklich auch Produkte, die bereits im Markt sind.
24 Stunden für die Frühwarnung, 72 Stunden für den Detailbericht und 14 Tage nach Behebung (spätestens ein Monat nach dem Vorfall) für den Abschlussbericht.
Bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen die wesentlichen Sicherheitsanforderungen – der höhere Betrag ist jeweils maßgeblich.
Alle drei Regelwerke adressieren Cybersicherheit, aber mit unterschiedlichem Fokus: NIS2 betrifft den Betrieb kritischer Einrichtungen, der CRA die Produkte selbst. ISO 27001 liefert die Managementsystem-Grundlage, auf der sich beide Pflichten effizient abbilden lassen.
Wir prüfen gemeinsam, ob und wie Ihre Produkte betroffen sind — kostenlos und unverbindlich.