Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen über die zentrale Plattform der EU-Cybersicherheitsagentur ENISA melden. Die Pflicht folgt aus dem Cyber Resilience Act (CRA); sie gilt bereits vor dem Großteil der Produktanforderungen, die Ende 2027 greifen.
Entscheidend ist der Zeitpunkt, an dem der Hersteller von einem meldepflichtigen Sachverhalt Kenntnis erlangt. Innerhalb von 24 Stunden ist zunächst eine Frühwarnung abzugeben, binnen 72 Stunden folgen die näheren Angaben. Die Meldung über die Single Reporting Platform wird an die zuständigen nationalen Stellen weitergeleitet. Nicht jede gewöhnliche Softwarelücke löst diese Fristen aus: Der CRA unterscheidet insbesondere aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle.
Für Unternehmen ergibt sich daraus eine praktische Reihenfolge: Verantwortlichkeiten und Produktrollen klären, Zugänge und Vertretungen für die ENISA-Plattform vorbereiten, interne Eskalationswege auf die 24-Stunden-Frist ausrichten und den Zeitpunkt der Kenntnis nachvollziehbar dokumentieren. Das BSI weist außerdem darauf hin, dass der CRA neben Meldungen auch Risikobewertung, sichere Voreinstellungen und ein systematisches Schwachstellenmanagement verlangt.
Die kurze Erstfrist bedeutet nicht, dass schon alle technischen Details feststehen müssen. Sie soll eine frühe Warnung ermöglichen; die vertiefte Meldung folgt später. Welche Informationen im Einzelfall erforderlich sind, ist anhand der aktuellen ENISA-Hinweise und des Verordnungstextes zu prüfen.
Der Überblick ersetzt keine Rechtsberatung. Besonders Rollenverteilung, Ausnahmen und die Abgrenzung eines meldepflichtigen Vorfalls hängen vom konkreten Produkt und Geschäftsmodell ab.