CRA-Melde-Readiness-Check
Ab dem 11.09.2026 gelten die CRA-Meldepflichten — auch für Produkte, die schon am Markt sind. Sind Ihre 24h-Prozesse bereit?
Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen (auch reine Software), aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden: Frühwarnung in 24 Stunden, Meldung in 72 Stunden — über die ENISA-Meldeplattform. Dieser Check prüft, ob Ihre Organisation das ab dem 11.09.2026 leisten kann. Unverbindliche Ersteinschätzung — keine Rechtsberatung.
Unverbindliche Ersteinschätzung — keine Rechtsberatung, kein Compliance-Nachweis.
Häufig gestellte Fragen
Wann gelten die CRA-Meldepflichten?
Ab dem 11.09.2026 gelten die CRA-Meldepflichten — auch für Produkte, die schon am Markt sind. Die Hauptpflichten (Essential Requirements, Konformitätsbewertung, CE-Kennzeichnung) folgen ab 11.12.2027.
Welche Fristen muss ich einhalten?
Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht nach 14 Tagen (Schwachstelle) bzw. 1 Monat (Vorfall) — über die ENISA Single Reporting Platform an das zuständige CSIRT (DE: BSI).
Wer muss melden?
Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen (auch reine Software) — nicht den Betreiber. Kleinst-/Kleinunternehmen sind nur von Bußgeldern für verspätete 24h-Frühwarnung ausgenommen, nicht von der Meldepflicht selbst.
Was prüft dieser Readiness-Check?
Der Check prüft in 10 Fragen (ca. 3 Minuten), ob Ihre Organisation die 24h-/72h-Meldekette leisten kann: Produkt-Scope, PSIRT-Prozess, Meldekette, SBOM & Update-Prozess sowie Zuständigkeiten. Unverbindliche Ersteinschätzung — keine Rechtsberatung.