Betroffene Produkte und Rollen inventarisieren
Der CRA erfasst Hardware- und Softwareprodukte mit digitalen Elementen in einem breiten Anwendungsbereich. Erfassen Sie Produktfamilien, Versionen, Komponenten, Herstellerrolle, Importwege und Supportzeitraum. Auch bereits angebotene Produkte können für die Meldepflichten relevant sein.
Ordnen Sie interne und externe Ansprechpartner für Entwicklung, Security, Recht, Support und Geschäftsführung zu. Ein App-Entwickler, Auftragsfertiger oder Open-Source-Baustein verändert nicht automatisch die eigene Marktrolle.
Meldekriterien in den Incident-Prozess übersetzen
Nicht jede Sicherheitswarnung ist sofort eine CRA-Meldung. Der Prozess muss unterscheiden, ob eine Schwachstelle aktiv ausgenutzt wird oder ein schwerer Vorfall die Sicherheit des Produkts beeinflusst. Technische Bewertung und rechtliche Einordnung laufen parallel.
Legen Sie fest, wer Kenntnis im rechtlichen Sinn bewertet und wer die Frist startet. Supporttickets, Bug-Bounty-Meldungen, Monitoring und Lieferantenhinweise müssen denselben Eskalationsweg erreichen.
24-Stunden-, 72-Stunden- und Abschlussmeldungen vorbereiten
Die EU-Kommission nennt eine Frühwarnung innerhalb von 24 Stunden und eine vollständige Meldung innerhalb von 72 Stunden. Danach folgt je Fall ein Abschlussbericht innerhalb der vorgesehenen Frist. Die Meldung erfolgt über die zentrale Meldeplattform.
Bereiten Sie Vorlagen mit bekannten Pflichtfeldern, Produktkennung, Wirkung, betroffenen Ländern, Gegenmaßnahmen und Kontaktperson vor. In der Frühphase dürfen unbekannte Details als offen gekennzeichnet werden; erfundene Sicherheit ist gefährlicher als ein transparenter Ermittlungsstand.
- Zeitpunkt der ersten Kenntnis
- Betroffene Produkte, Versionen und Märkte
- Technische Auswirkung und Ausnutzung
- Sofortmaßnahmen und Nutzerhinweise
- Verantwortlicher Melder und Freigabeweg
Schwachstellenbehandlung über den Supportzeitraum organisieren
Der CRA verlangt einen wirksamen Umgang mit Schwachstellen über einen festgelegten Supportzeitraum. Produktunterlagen sollen das Ende dieses Zeitraums verständlich ausweisen. Das betrifft Releaseplanung, Komponentenlisten, Sicherheitsupdates und Kommunikationskanäle.
Ein Update muss sicher verteilt, verifiziert und dokumentiert werden. Für Geräte ohne automatischen Updateweg braucht es klare Anweisungen und realistische Reichweitenmessung. Abgekündigte Produkte verschwinden nicht aus der Verantwortung, solange zugesagte Zeiträume laufen.
Prozess vor dem Stichtag üben
Führen Sie einen Tabletop-Test mit einer realistischen Schwachstelle durch. Stoppen Sie die Zeit von Supporteingang bis Entscheidung und Vorlagenfreigabe. Typische Lücken sind unbekannte Produktversionen, fehlende Vertretung und unklare Kommunikation an Kunden.
Die Hauptanforderungen des CRA gelten später als die Meldepflichten, doch die Vorarbeiten überschneiden sich. Nutzen Sie Inventar, Risikoanalyse und Meldeübung als Grundlage für die vollständige Produkt-Compliance bis Dezember 2027.
Kurz beantwortet
Häufige Fragen
Ab wann gelten die CRA-Meldepflichten?
Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gelten ab dem 11. September 2026.
Wie schnell muss gemeldet werden?
Die EU-Kommission nennt eine Frühwarnung binnen 24 Stunden und eine vollständige Meldung binnen 72 Stunden; anschließend ist ein Abschlussbericht erforderlich.
Gelten die Pflichten nur für neue Produkte?
Die Meldepflichten können auch Produkte betreffen, die schon vor dem vollständigen Geltungsbeginn bereitgestellt wurden. Der konkrete Anwendungsfall ist zu prüfen.
