CRA-Meldepflicht: Sind Sie startklar?

Seit dem 11. September 2026 ist es soweit: Der EU Cyber Resilience Act verpflichtet Hersteller digitaler Produkte, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden erstzumelden. Betroffen sind nicht nur klassische Software-Anbieter, sondern auch Maschinen-, Steuerungs- und Bediengerätehersteller aus Automatisierung, Maschinenbau und Elektrotechnik.

Wichtige Fristen

Worauf es jetzt ankommt

Eine CRA-Meldung beginnt lange bevor ein Formular ausgefüllt wird. Hersteller müssen erkennen können, welche Produkte und Softwarestände betroffen sind, ob eine Schwachstelle aktiv ausgenutzt wird und welche Gegenmassnahmen greifen. Und das innerhalb enger gesetzlicher Fristen: 24 Stunden für die Frühwarnung, 72 Stunden für die Folgemeldung, danach der Abschlussbericht.
Die Grundlage dafür sind eine aktuelle Software Bill of Materials (SBOM), ein funktionierendes Vulnerability Management und klar geregelte Zuständigkeiten, auch gegenüber Lieferanten und Entwicklungspartnern, deren Komponenten in Ihrem Produkt stecken.

Der Meldeprozess im Überblick

Leitfaden „CRA-Meldepflicht”

Unser Praxisleitfaden bündelt Meldegegenstände, Fristen, technische Voraussetzungen und SBOM-Anforderungen der CRA-Meldepflicht in einem Dokument, inklusive Praxisbeispiel und Checkliste für Ihr Team.