CRA-Meldefristen: die Meldeuhr
Über diese App
Meldepflichten nach Art. 14 Cyber Resilience Act an vier Fällen aus dem Maschinenbau: Hinweis registrieren, bewerten, Melderelevanz entscheiden. Ab Kenntnis läuft die Uhr, Frühwarnung in 24 h, Meldung in 72 h, auch übers Wochenende; dazu der interne Meldeablauf.
Mit Erklärmodus: Ein KI-Tutor führt dich durch die App, zeigt in der Szene, worauf es ankommt, und beantwortet deine Fragen.
Was Art. 14 CRA verlangt
Seit dem 11.09.2026 müssen Hersteller von Produkten mit digitalen Elementen zwei Anlässe melden, auch für Produkte, die schon vorher in Verkehr gebracht wurden: aktiv ausgenutzte Schwachstellen, für deren Ausnutzung es verlässliche Belege gibt, und schwerwiegende Sicherheitsvorfälle. Ab Kenntnis gilt: Frühwarnung unverzüglich, spätestens nach 24 Stunden, ausführliche Meldung spätestens nach 72 Stunden. Der Abschlussbericht folgt bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei Vorfällen spätestens einen Monat nach der Meldung. Gemeldet wird über die Single Reporting Platform der ENISA.
Was die App zeigt
Eine Meldeuhr: Der Ring steht für 72 Stunden ab Kenntnis, die Marke bei einem Drittel für die Frühwarnung, ein äußeres Band zeigt Nächte und Wochenende. Darunter eine Zeitachse mit den Fristbahnen, rechts drei Fristkarten. Oben der interne Ablauf nach dem CRA-Schnellcheck: Eingangskanal, Registrierung, Erstbewertung, Entscheidung, Meldung, Kundeninformation, je mit Prüffrage.
Selbst ausprobieren
Im Fall „Freitag 16:40“ meldet ein Kunde Auffälligkeiten an seiner Steuerung, die Erstbewertung um 18:10 findet Schadcode. Entscheide, ob ein schwerwiegender Vorfall vorliegt, und sende die Frühwarnung. Wer auf die Freigabe am Montag um 9 Uhr wartet, sieht die Frist seit Samstag 18:10 überschritten. Der Hinweis eines Lieferanten auf eine nicht ausgenutzte Lücke und eine bloße Vermutung lösen dagegen keine Meldung aus.
Häufige Fragen
- Welche Fristen gelten für Meldungen nach dem Cyber Resilience Act?
- Frühwarnung unverzüglich, spätestens 24 Stunden ab Kenntnis; ausführliche Meldung spätestens 72 Stunden ab Kenntnis; Abschlussbericht bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei Vorfällen spätestens einen Monat nach der ausführlichen Meldung.
- Muss jede Schwachstelle nach dem CRA gemeldet werden?
- Nein. Meldepflichtig nach Art. 14 sind aktiv ausgenutzte Schwachstellen, also mit verlässlichen Belegen für eine Ausnutzung, und schwerwiegende Sicherheitsvorfälle. Eine bloße Vermutung genügt nicht, verlangt aber unverzügliche Aufklärung.
- Gibt es Erleichterungen für kleine Unternehmen?
- Kleinst- und Kleinunternehmen erhalten kein Bußgeld allein wegen einer versäumten 24-Stunden-Frühwarnung (Art. 64 Abs. 10). Die Meldung selbst und die 72-Stunden-Frist bleiben Pflicht.
- Was kann ich in der App ausprobieren?
- Vier Fälle durchspielen, die Melderelevanz entscheiden, Frühwarnung, Meldung und Nutzerinformation zu selbst gewählten Zeitpunkten senden, den Zeitzeiger ziehen und sehen, wie Nacht, Wochenende und interne Freigaben die Fristen beeinflussen.
Fach: Betriebliche Weiterbildung
Mehr aus Betriebliche Weiterbildung
Eine VisuApp von heyprof: interaktiv, kostenlos im Browser, ohne Anmeldung. Was ist eine VisuApp? · Alle Apps