Lehner & Szecsey
EN

CRA-Wissensdatenbank

Meldepflichten

Melden aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle an ENISA/CSIRT.

← Zurück zur FAQ-Übersicht

Alle Fragen in diesem Thema

Wie erfährt ein Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schweren Vorfall?

Der CRA schreibt das „Wie" nicht vor, sondern die Meldepflicht, sobald Kenntnis besteht (Art. 14) – etwa über eigenes Monitoring, Hinweise von Sicherheitsforschern oder Nutzern.

Quelle: EU-Kommission · FAQ 5.1 Offizielles EU-FAQ (Originaltext, Englisch)

Müssen Zero-Day-Schwachstellen gemeldet werden?

Meldepflichtig sind aktiv ausgenutzte Schwachstellen – also solche, für die belastbare Hinweise auf eine tatsächliche böswillige Ausnutzung vorliegen (Art. 3 Nr. 42), unabhängig davon, ob sie öffentlich bekannt sind.

Quelle: EU-Kommission · FAQ 5.2 Offizielles EU-FAQ (Originaltext, Englisch)

Gelten die Meldepflichten auch für Produkte, die vor CRA-Geltung in Verkehr gebracht wurden?

Ja. Abweichend von der allgemeinen Übergangsregel gelten die Meldepflichten (Art. 14) auch für vor dem 11.12.2027 in Verkehr gebrachte Produkte (Art. 69 Abs. 3).

Quelle: EU-Kommission · FAQ 5.3 Offizielles EU-FAQ (Originaltext, Englisch)

Müssen bei einer Schwachstelle in einer Fremdkomponente alle integrierenden Hersteller melden?

Jeder Hersteller meldet eine aktiv ausgenutzte Schwachstelle, die in seinem Produkt enthalten ist – also auch dann, wenn sie aus einer integrierten Fremdkomponente stammt.

Quelle: EU-Kommission · FAQ 5.4 Offizielles EU-FAQ (Originaltext, Englisch)

Themenblöcke

Sinngemäß zusammengefasst und übersetzt aus den „FAQs on the Cyber Resilience Act" der Europäischen Kommission (Stand v1.2, 16.01.2026), lizenziert unter CC BY 4.0. Vereinfacht durch Lehner & Szecsey – maßgeblich ist der Originaltext. Offizielles EU-FAQ (Originaltext, Englisch).