Der 11. September 2026 ist keine 2027-Frage

Nur noch wenige Tage bis zum 11. September 2026: Dann gelten die ersten Meldepflichten des Cyber Resilience Act für Hersteller — und sie greifen auf Produkte zurück, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden.

Die meisten Softwarehäuser haben sich beim Cyber Resilience Act ein Datum notiert: den 11. Dezember 2027. Dann gilt die Verordnung (EU) 2024/2847 allgemein. Die zentralen produktbezogenen Konformitätspflichten — CE-Kennzeichnung, technische Dokumentation, Konformitätsbewertung, wesentliche Anforderungen — gelten grundsätzlich ab diesem Zeitpunkt.

Für einen Artikel stimmt das nicht. Und ausgerechnet dieser eine reicht in die Vergangenheit.

Was am 11. September gilt

Artikel 71 Absatz 2 sagt es in zwei Sätzen: „Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.¹”

Artikel 14 ist die Meldepflicht des Herstellers. Zwei Ereignisse sind zu melden, gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA.

Die aktiv ausgenutzte Schwachstelle. Eng definiert: „eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat” (Art. 3 Nr. 42).² Ein bloßer Scanner-Alarm ohne verlässliche Nachweise für eine unbefugte Ausnutzung genügt nicht; Scan- oder Protokolldaten können eine Ausnutzung aber sehr wohl belegen. Ein beauftragter Pentest ist ebenfalls keine unbefugte Ausnutzung.

Der schwerwiegende Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts. Schwerwiegend, wenn er „sich negativ auf die Fähigkeit eines Produkts mit digitalen Elementen auswirkt oder auswirken kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von sensiblen oder wichtigen Daten oder Funktionen zu schützen”, oder wenn er „zur Einführung oder Ausführung eines böswilligen Codes” im Produkt oder im Netzwerk und Informationssystem eines Nutzers „geführt hat oder dazu führen kann” (Art. 14 Abs. 5).³ Auf das „kann” kommt es an: Wer auf den eingetretenen Schaden wartet, hat die Norm falsch gelesen.

Die Frist lautet „unverzüglich, in jedem Fall aber innerhalb von 24 Stunden” für die Frühwarnung (Art. 14 Abs. 2 Buchst. a). Die 24 Stunden sind die Obergrenze, nicht das Budget. Danach die Meldung binnen 72 Stunden, dann der Abschlussbericht — binnen 14 Tagen nach Verfügbarkeit einer Abhilfemaßnahme, beim Vorfall binnen eines Monats nach der 72-Stunden-Meldung.⁴

Der Absatz, den kaum jemand kennt

Artikel 69 Absatz 2 stützt zunächst die beruhigende Lesart: Produkte, die vor dem 11. Dezember 2027 „in den Verkehr gebracht” wurden, unterliegen den Anforderungen der Verordnung nur dann, wenn sie nach diesem Zeitpunkt „einer wesentlichen Änderung” unterliegen. Das ist der Bestandsschutz, und er ist echt.⁵

Dann kommt Absatz 3, im Wortlaut: „Abweichend von Absatz 2 des vorliegenden Artikels gelten die in Artikel 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich dieser Verordnung fallen und vor dem 11. Dezember 2027 in den Verkehr gebracht wurden.⁶”

Der Bestandsschutz hat also genau ein Loch, und es hat die Form der Meldepflicht.

Der Entwurf der Kommissionsleitlinien geht in Randnummer 210 noch einen Schritt weiter: Anders als die Pflichten zur Schwachstellenbehandlung, die nur für die Dauer des Unterstützungszeitraums gelten, bestehen die Meldepflichten fort, nachdem ein Produkt nicht mehr unterstützt wird.⁷ Wer also 2019 etwas in den Verkehr gebracht und den Support 2023 eingestellt hat, ist damit nicht heraus.

Was das nicht heißt

Hier lohnt Präzision, weil in den nächsten Wochen viel Ungenaues geschrieben werden wird.

Die 24 Stunden laufen nicht, weil ein Produkt alt ist oder eine Schwachstelle enthält. Sie laufen ab dem Zeitpunkt, an dem der Hersteller Kenntnis erlangt — und der Leitlinienentwurf beschreibt diesen Zeitpunkt als den Moment, in dem der Hersteller nach unverzüglicher Bewertung eines verdächtigen Ereignisses mit hinreichender Gewissheit erkennt, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird oder ein schwerwiegender Sicherheitsvorfall die Sicherheit des Produkts beeinträchtigt hat (Rn. 213).⁸

Und Artikel 14 verlangt keine rückwirkende Meldung: Eine aktive Ausnutzung, von der der Hersteller bereits vor dem 11. September 2026 Kenntnis hatte, ist nicht nachzumelden (Rn. 217).⁹ Über Pflichten aus anderen Rechtsakten sagt das nichts.

Beides steht in Leitlinien, die die Kommission am 27. Juli 2026 veröffentlicht und selbst als unverbindlich bezeichnet hat. Die begleitende Mitteilung ist deutlicher — und sie liegt bislang nur auf Englisch vor, was den Punkt selbst belegt: die im Anhang enthaltenen Leitlinien würden „formally adopted by the Commission at a later date, when all language versions are available”, und „it is only from that moment that it will apply”. Als Auslegungshilfe sind sie trotzdem das Beste, was derzeit vorliegt; ob die Annahme inzwischen erfolgt ist, vor der Veröffentlichung prüfen.¹⁰

Und die Geldbußen?

Artikel 64 steht in Kapitel VII. Kapitel VII ist von Artikel 71 Absatz 2 nicht vorgezogen; es gilt ab dem 11. Dezember 2027. Dasselbe gilt für das Marktüberwachungskapitel des CRA.¹¹

Das ist enger, als es klingt. Es bedeutet nicht Straflosigkeit: Vertragliche Folgen, Produkthaftung¹², nationales Recht und sektorspezifische Pflichten bleiben unberührt, und die Marktüberwachung nach der Verordnung (EU) 2019/1020 verschwindet nicht.¹³ Es bedeutet nur: Eine versäumte Frist des Artikels 14 in diesem Zeitraum unterliegt noch nicht dem Bußgeldregime des Artikels 64.

Ein Detail lohnt sich besonders für kleine Softwarehäuser. Das Corrigendum 2025/90555 hat in Artikel 64 Absatz 10 „Absätze 3 bis 9” durch „Absätze 2 bis 9” ersetzt.¹⁴ Erst dadurch greift die Ausnahme dort, wo Artikel-14-Verstöße geahndet werden — nämlich in Absatz 2. Folge: Für „Hersteller, die als Kleinst- oder Kleinunternehmen gelten”, greifen die CRA-Geldbußen nicht, soweit es allein um „die Nichteinhaltung der in Artikel 14 Absatz 2 Buchstabe a oder Artikel 14 Absatz 4 Buchstabe a genannten Frist” geht. Die 72-Stunden-Meldung und der Abschlussbericht sind davon nicht erfasst.¹⁵

Was vor dem 11. September stehen sollte

Zuständigkeit und Zugang. Die Meldung geht an das CSIRT des Mitgliedstaats der Hauptniederlassung in der Union (Art. 14 Abs. 7); ohne Hauptniederlassung greift eine Kaskade.¹⁶ Die ENISA teilt mit, dass die einheitliche Meldeplattform des Artikels 16 ab dem 11. September für die Pflichtmeldung genutzt wird.¹⁷ Zugänge anlegen, Vertretungen benennen, den Ablauf einmal proben — nicht am Freitagabend.

Ein Mensch und ein Weg außerhalb der Bürozeiten. Unverzüglich kennt kein Wochenende.

Ein festgelegter Bewertungsablauf. Wer bewertet ein verdächtiges Ereignis, wie schnell, und woran wird hinreichende Gewissheit festgemacht? Diese Festlegung startet die Frist nicht — das tut die Kenntnis — aber ohne sie geht wertvolle Zeit mit der Frage verloren, ob die Schwelle überhaupt erreicht ist.

Parallel läuft eine leicht übersehene Pflicht: Nach Artikel 14 Absatz 8 informiert der Hersteller „die betroffenen Nutzer des Produkts mit digitalen Elementen und gegebenenfalls alle Nutzer” über die Schwachstelle oder den schwerwiegenden Sicherheitsvorfall und erforderlichenfalls über „Risikominderungsmaßnahmen und Korrekturmaßnahmen, die die Nutzer ergreifen können¹⁸”.

Ein Vorbehalt zum Schluss

Die ENISA weist darauf hin, dass die Plattform ab dem 11. September auch für freiwillige Meldungen genutzt werden könne.¹⁹ Artikel 15, der die freiwillige Meldung regelt, wurde von Artikel 71 Absatz 2 jedoch nicht vorgezogen. Wer 2026 freiwillig meldet, sollte sich deshalb nicht darauf verlassen, dass die Schutzvorschrift des Artikels 15 Absatz 5 bereits gilt.²⁰

Das Datum, das die meisten notiert haben, ist der 11. Dezember 2027.

Das Datum, das notiert gehört, ist der 11. September 2026 — weil es das einzige ist, das nach hinten greift.

Abkürzungsverzeichnis

Alle Abkürzungen werden im Text bei der ersten Verwendung ausgeschrieben. Die folgende Übersicht dient der schnellen Orientierung.

Literaturverzeichnis

Die Quellen sind nach Kategorien geordnet; die vollständigen Nachweise samt Abrufdatum stehen in den Fußnoten. Dieser Beitrag stützt sich ausschließlich auf Primärtext: die amtliche Fassung der Verordnung, ihre beiden Berichtigungen sowie die Dokumente der Kommission und der ENISA. Für keine Pflichtenaussage wurde Sekundärliteratur herangezogen.

Primärquellen: Rechtsakte und amtliche EU-Dokumente

Verordnung (EU) 2024/2847 (Cyberresilienzverordnung): horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen — Art. 3, 14, 15, 64, 69 und 71 https://eur-lex.europa.eu/eli/reg/2024/2847/oj/deu

Berichtigung, ABl. L 2025/90555: Art. 64 Abs. 10, einleitender Satzteil — „Absätze 3 bis 9“ berichtigt zu „Absätze 2 bis 9“ https://eur-lex.europa.eu/eli/reg/2024/2847/corrigendum/2025-07-02/oj/deu

Berichtigung, ABl. L 2024/90780: Zitierweise im Titel; keine Sachvorschrift betroffen https://eur-lex.europa.eu/eli/reg/2024/2847/corrigendum/2024-12-05/oj/deu

Verordnung (EU) 2019/1020: Marktüberwachung und Konformität von Produkten https://eur-lex.europa.eu/eli/reg/2019/1020/oj/deu

Richtlinie (EU) 2024/2853: Haftung für fehlerhafte Produkte; Software gilt als Produkt, anwendbar ab 9. Dezember 2026 https://eur-lex.europa.eu/eli/dir/2024/2853/oj/deu

Amtliche Leitlinien

Europäische Kommission: Mitteilung C(2026) 5252 vom 27. Juli 2026 nebst Anhang mit Leitlinien zur Anwendung des CRA — unverbindlich; Geltung erst ab förmlicher Annahme https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation

Europäische Kommission: Cyber Resilience Act — Meldepflichten https://digital-strategy.ec.europa.eu/en/policies/cra-reporting

ENISA: CRA Single Reporting Platform — Faktenblatt und Plattform-Hinweise https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp

Rechtlicher Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar. Ob und wie Artikel 14 auf ein bestimmtes Produkt und einen bestimmten Hersteller anzuwenden ist, ist nach den Umständen des Einzelfalls, gegebenenfalls unter Hinzuziehung qualifizierter rechtlicher Beratung, zu beurteilen. Stand: August 2026.