Verkaufen Sie Software oder Geräte? Ab 11. September gilt eine Meldepflicht
Martin Schubert13 Min. LesezeitVerkaufen Sie Software oder Geräte? Ab 11. September gilt eine Meldepflicht
Verkaufen oder liefern Sie etwas, das beim Kunden läuft? Eine App, ein Plugin, ein Programm zum Installieren, die Software in einem Gerät, ein vernetztes Gerät selbst? Dann geht es hier um Sie. Betreiben Sie nur eine Website oder einen Dienst, den Kunden im Browser nutzen, dann eher nicht, und auch das sollten Sie wissen.
Der Grund ist eine neue EU-Regel. Ab dem 11. September 2026 sollen Hersteller zwei Dinge melden: dass jemand eine Schwachstelle in ihrem Produkt angreift, und schwere Sicherheitsvorfälle. Die erste Meldung soll binnen 24 Stunden draußen sein. Das gilt auch für Produkte, die Sie längst verkauft haben.
Die meisten Firmen, die das hier lesen, sind nicht gemeint. Deshalb steht gleich im nächsten Abschnitt, wer herausfällt. Wenn Sie es in drei Minuten selbst nachsehen wollen, ohne uns zu fragen: unser CRA-Meldepflicht-Check stellt sieben Fragen und nennt zu jeder Antwort die Regel, aus der sie folgt. Kostenlos, ohne Anmeldung.
Kurz gefasst. Wer Software oder vernetzte Geräte an Kunden in der EU abgibt, soll ab dem 11. September 2026 angegriffene Schwachstellen und schwere Vorfälle über eine europäische Plattform melden: eine erste Warnung binnen 24 Stunden, gerechnet ab dem Moment, in dem er davon erfährt. Wer nur eine Website oder einen reinen Onlinedienst betreibt, ist damit nicht gemeint.
Dieser Beitrag ordnet ein, was in der Verordnung, in den Leitlinien der Kommission und in den Unterlagen der zuständigen EU-Agentur steht. Er ist keine Rechtsberatung. Ob eine Pflicht Sie im Einzelfall trifft, hängt an Ihren Verträgen, Ihren Produkten und Ihren Vertriebswegen, und das entscheidet kein Beitrag und kein Werkzeug.
Wen es wahrscheinlich nicht betrifft
Das gehört an den Anfang, vor jede Frist.
Eine Website, die Ihr Unternehmen und Ihre Leistungen vorstellt, ist nach der Verordnung kein Produkt in diesem Sinne. Die Begründung am Anfang des Gesetzes sagt das, und die Kommission wiederholt es in ihren Leitlinien mit einem eigenen Beispiel.
Dasselbe gilt für Anwendungen, die nur im Browser laufen, und für reine Mietsoftware, oft Software-as-a-Service oder SaaS genannt: ein Dienst, für den der Kunde nichts installiert. Dafür gibt es andere Regeln, vor allem die EU-Richtlinie zur Netz- und Informationssicherheit, kurz NIS-2, mit eigenen Schwellenwerten.
Wer nur für den eigenen Betrieb entwickelt und nichts davon weitergibt, gibt nichts auf den Markt und fällt ebenfalls heraus.
Und wer freie, quelloffene Software veröffentlicht, ohne damit Geld zu verdienen, ist nach der Verordnung kein Hersteller. Für Organisationen, die solche Software dauerhaft betreuen, gibt es eine eigene, mildere Rolle. Deren Meldepflicht datiert die Kommission in ihrer Fragensammlung vom 4. September 2026 auf Ende 2027.
Ein Hinweis trotzdem: Ihre Lieferanten kann die Regel treffen, auch wenn Sie selbst herausfallen. Wer Ihnen ein Modul, eine Bibliothek oder ein Gerät liefert, meldet dann und informiert Sie. Es lohnt sich zu wissen, wie.
Wen es betrifft
Gemeint sind Hersteller von Produkten, in denen Software steckt. Die Verordnung nennt das „Produkte mit digitalen Elementen“: Software oder Hardware, die jemand im Rahmen seiner Geschäftstätigkeit auf dem EU-Markt anbietet. Ob dafür Geld fließt, spielt keine Rolle.
Konkret geht es um Dinge, die beim Kunden landen:
- Software, die installiert wird, auf dem Rechner oder auf einem Server
- eine App im Store
- ein Plugin, eine Browser-Erweiterung, ein Modul für einen Shop oder ein Redaktionssystem
- die fest eingebaute Software eines Geräts, oft Firmware genannt
- ein vernetztes Gerät, vom Sensor bis zur Maschinensteuerung
Wer so etwas unter eigenem Namen oder eigener Marke anbietet, gilt nach der Definition der Verordnung in aller Regel als Hersteller. Das gilt auch dann, wenn ein Dienstleister die Software für Sie geschrieben hat.
Zwei Fälle übersieht man leicht.
Der erste ist Auftragssoftware. Wer für einen Geschäftskunden eine maßgeschneiderte Lösung baut und ausliefert, bringt sie damit auf den Markt. Die Fragensammlung der Kommission zählt maßgeschneiderte Produkte ausdrücklich dazu.
Der zweite ist der Server hinter der App. Kann Ihre App eine ihrer Funktionen ohne Ihren Server nicht erfüllen, gehört dieser Server zum Produkt. Fremde Cloud-Dienste, die Sie nur einkaufen und nutzen, zählen nicht dazu.
Was gemeldet werden soll, und was nicht
Es sind zwei Auslöser, nicht mehr.
Erstens: jemand greift eine Schwachstelle in Ihrem Produkt an. Die Verordnung verlangt dafür verlässliche Nachweise, dass jemand sie tatsächlich ausgenutzt hat, ohne dass der Betreiber des Systems zugestimmt hätte. Auf diesen beiden Wörtern liegt das Gewicht: verlässlich, und tatsächlich ausgenutzt.
Was ein Sicherheitsforscher findet und Ihnen meldet, fällt danach nicht darunter. Ein Fund aus einem Prämienprogramm für gemeldete Schwachstellen, oft Bug Bounty genannt, auch nicht. Eine Lücke, für die es noch kein Update gibt, wird erst dann zum Meldefall, wenn Belege für einen Angriff vorliegen. Melden dürfen Sie all das freiwillig. Müssen Sie nach dem Text nicht.
Zweitens: ein schwerer Sicherheitsvorfall. Schwer heißt nach der Verordnung: Der Vorfall beeinträchtigt die Fähigkeit des Produkts, wichtige Daten oder Funktionen zu schützen, oder er kann das. Oder er hat dazu geführt, dass Schadcode in das Produkt oder in die Systeme eines Nutzers gelangt ist, oder er kann dazu führen. Das Beispiel steht in der Verordnung selbst: Jemand schleust Schadcode in den Weg ein, über den Sie Ihre Updates ausliefern.
Und wenn die Lücke in einer eingekauften oder quelloffenen Komponente steckt? Wird sie in Ihrem Produkt angegriffen, ist es Ihr Meldefall. Ist sie in Ihrem Produkt gar nicht erreichbar oder wird sie nicht angegriffen, sieht die Verordnung keine Pflichtmeldung vor. Dann bleibt, den Hersteller der Komponente zu informieren und das Problem zu beheben.
Rückwirkend gilt das Ganze nicht. Was Sie vor dem 11. September 2026 schon als angegriffen kannten, ist danach kein Nachmeldefall. Erst wenn eine bekannte Lücke nach diesem Tag angegriffen wird oder Sie erstmals davon erfahren, greift die Frist.
Wann die Uhr startet
Nicht mit dem Angriff. Mit Ihrer Kenntnis.
Die Leitlinien der Kommission beschreiben den Startpunkt so: Sie haben einen Hinweis erst bewertet, und danach sprechen die Anzeichen mit hinreichender Sicherheit dafür, dass jemand angreift oder dass ein schwerer Vorfall vorliegt. Ein vager Verdacht startet die Uhr also nicht, eine bestätigte Auswertung schon. Dieselbe Lesart kennen Sie vielleicht schon aus NIS-2 und von Datenpannen nach der Datenschutz-Grundverordnung.
Der Unterschied klingt klein und entscheidet in der Praxis über Tage.
Drei Stufen
Nach 24 Stunden die Frühwarnung. Sie enthält wenig: um welche Art von Fall es geht, welches Produkt und welche Version betroffen sind, wann Sie davon erfahren haben, und bei einem Vorfall, ob Sie eine böswillige Handlung vermuten. „Unverzüglich, spätestens nach 24 Stunden“ heißt: Die 24 Stunden sind die Obergrenze, nicht das Ziel.
Nach 72 Stunden die eigentliche Meldung. Allgemeine Angaben zum Produkt, wie angegriffen wurde oder was vorgefallen ist, was Sie dagegen getan haben und was Ihre Kunden tun können. Dazu Ihre Einschätzung, wie heikel diese Informationen sind.
Zuletzt der Abschlussbericht. Bei einer angegriffenen Schwachstelle spätestens 14 Tage, nachdem eine Korrektur oder eine andere Gegenmaßnahme verfügbar ist. Bei einem Vorfall innerhalb eines Monats nach der Meldung. Die staatliche Meldestelle kann zwischendurch einen Zwischenbericht anfordern.
Parallel dazu sieht die Verordnung vor, dass Sie Ihre betroffenen Kunden informieren, über die Sache selbst und darüber, was sie tun können. Die Leitlinien lesen das mit Augenmaß: keine sofortige Mitteilung an die Öffentlichkeit, technische Einzelheiten zunächst nur an betroffene Kunden. Passiert gar nichts, darf die Meldestelle Ihre Kunden selbst informieren.
Wohin die Meldung geht
Es gibt genau einen Weg, und der führt nicht zu einer deutschen Behörde, sondern zu einer europäischen Plattform. Sie heißt Single Reporting Platform und wird von der ENISA betrieben, der Agentur der Europäischen Union für Cybersicherheit. Sie melden dort einmal.
Von dort geht die Meldung an die staatliche Meldestelle, die für Sie zuständig ist, und gleichzeitig an die ENISA. Die Meldestelle reicht sie an die Länder weiter, in denen Ihr Produkt angeboten wird. Einmal melden genügt also.
Diese Meldestellen heißen im Amtsdeutsch CSIRT, ausgeschrieben Computer Security Incident Response Team, also das staatliche Team für die Reaktion auf IT-Sicherheitsvorfälle. In Deutschland ist das in aller Regel das BSI, das Bundesamt für Sicherheit in der Informationstechnik. Ein eigenes BSI-Portal für diese Meldungen gibt es nicht.
Welche Meldestelle zuständig ist, hängt daran, wo Ihr Unternehmen die Entscheidungen über die Sicherheit seiner Produkte überwiegend trifft. Die Plattform zeigt Ihnen die Stelle an, sobald Sie das Land gewählt haben.
Zum Stand der ENISA-Unterlagen vom 7. September 2026: Die Plattform startet am 11. September zunächst nur für Pflichtmeldungen, auf Englisch und ohne Schnittstelle für andere Programme. Der Zugang läuft über ein EU-Login-Konto mit Zwei-Faktor-Anmeldung. Wer meldet, tut das als benannte meldende Person des Herstellers, im Englischen Assigned Representative. Die ENISA rät, sich erst zu registrieren, wenn eine Meldung ansteht; die Prüfung, ob jemand für sein Unternehmen melden darf, läuft nebenher und hält die Meldung nicht auf. Die Adresse hat die ENISA am 7. September nachgetragen: portal.cra-srp.enisa.europa.eu, erreichbar ab dem 11. September.
Was vorbereitet sein sollte
Die Verordnung schreibt nicht vor, wie Sie von einem Angriff erfahren. Sie setzt voraus, dass Sie melden, sobald Sie es wissen. Wer keinen Weg hat, davon zu erfahren, reißt die Frist fast sicher.
Vier Dinge stehen förmlich erst ab Dezember 2027 im Gesetz, gebraucht werden sie praktisch schon vorher:
- eine Adresse, an die jemand eine Schwachstelle melden kann, und die man findet
- eine kurze, veröffentlichte Regel, wie Sie mit solchen Meldungen umgehen
- ein Verzeichnis der Bausteine in Ihrem Produkt, damit Sie bei einer Meldung zu einer Bibliothek in Minuten wissen, ob Sie betroffen sind
- einen Weg, ein Sicherheitsupdate zu Ihren Kunden zu bringen
Dazu zwei Dinge, die in keinem Anhang stehen. Ein interner Entscheidungsweg, der an einem Samstag in 24 Stunden funktioniert: Wer bewertet einen Hinweis, wer stellt fest, dass es ernst ist, wer meldet? Und die Antwort auf die Frage, wo Ihr Unternehmen die Entscheidungen zur Produktsicherheit trifft. Bei einem Standort ist das trivial. Bei Entwicklung in einem Land und Geschäftsführung in einem anderen nicht.
Fünf Sätze, die im Umlauf sind
„Die Regel gilt doch erst ab Dezember 2027.“ Für fast alles stimmt das: Der Cyber Resilience Act gilt ab dem 11. Dezember 2027. Für die Meldepflicht stimmt es nicht. Artikel 71 nimmt sie, sie steht in Artikel 14, ausdrücklich aus und setzt sie auf den 11. September 2026, fünfzehn Monate früher.
„Das betrifft nur Produkte, die danach neu auf den Markt kommen.“ Nach dem Text nicht. Artikel 69 verschont ältere Produkte von vielem, von der Meldepflicht aber ausdrücklich nicht: Sie greift auch für alles, was vor dem 11. Dezember 2027 auf den Markt kam. Nach den Leitlinien der Kommission gilt sie sogar weiter, wenn Sie ein Produkt nicht mehr pflegen.
„Jede Schwachstelle muss gemeldet werden.“ Nein, es sind die zwei Fälle oben, und nur die.
„Die 24 Stunden laufen ab dem Angriff.“ Sie laufen ab dem Moment, in dem Sie davon erfahren und den Hinweis bewertet haben.
„In Deutschland meldet man ans BSI-Portal.“ Ein solches Portal gibt es nicht. Der Weg führt über die europäische Plattform, die die Meldung dann dem BSI zuordnet.
Was ein Versäumnis kosten kann
Der Bußgeldrahmen ist derselbe wie für die zentralen Herstellerpflichten: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Größe und Marktanteil des Unternehmens sind bei der Bemessung zu berücksichtigen. Das ist der Rahmen, nicht die Erwartung.
Für kleine Unternehmen steht in der berichtigten Fassung vom 2. Juli 2025 eine Ausnahme: Kleinstunternehmen und kleine Unternehmen sollen für das Verpassen der 24-Stunden-Frist nicht mit einem Bußgeld belegt werden. Wer den ursprünglichen Amtsblatttext liest, findet diese Ausnahme dort noch nicht. Für die 72-Stunden-Meldung und den Abschlussbericht gilt sie nicht.
In Deutschland soll das BSI die Bußgelder verhängen. Das Gesetz dazu liegt nach der ersten Lesung im Juni noch im Ausschuss. An der Meldepflicht selbst ändert das nichts: Sie folgt unmittelbar aus der EU-Verordnung, und das BSI nimmt Meldungen ohnehin entgegen, weil es diese Rolle schon aus NIS-2 hat.
Ein Aufschub ist nicht in Sicht
An der Meldepflicht hat sich bis zum Rechtsstand dieses Beitrags nichts geändert. Der Cyber Resilience Act ist einmal geändert worden, durch die Verordnung über den europäischen Gesundheitsdatenraum vom Februar 2025. Die betrifft die technische Dokumentation und die Prüfung von Systemen für elektronische Patientenakten, gilt ab März 2027 und rührt an die Fristen aus Artikel 14 nicht.
Der Digital Omnibus, den die Kommission im November 2025 vorgeschlagen hat, ändert die Datenschutz-Grundverordnung, NIS-2 und einige andere Rechtsakte, diese Verordnung nicht. Er steckt im Parlament, mit weit über tausend Änderungsanträgen.
Nicht zu verwechseln mit dem Digital Omnibus zur KI-Verordnung, der im Juli 2026 in Kraft trat und dort Fristen verschoben hat. Wer diese Verschiebung hierher überträgt, rechnet mit Zeit, die er nicht hat.
In drei Minuten selbst nachsehen
Die Fragen dieses Beitrags stecken in einem Werkzeug: dem CRA-Meldepflicht-Check. Kostenlos, ohne Anmeldung, ohne dass vorher jemand eine E-Mail-Adresse sehen will.
Sieben Fragen mit vorgegebenen Antworten: was Sie anbieten, ob Sie es an Dritte abgeben, unter wessen Namen es läuft, ob es freie Software ohne Verdienst ist, ob ein Server dazugehört, wo Ihre Entscheidungen zur Sicherheit fallen und wie groß Ihr Unternehmen ist. „Weiß nicht“ ist überall erlaubt. Kein Durchsuchen Ihrer Website, kein Sprachmodell, gespeichert wird nichts.
Was danach auf dem Bildschirm steht:
- Zehn Zeilen, jede mit der Regel, aus der sie folgt. Keine Ampel, kein Punktestand, keine Prozentzahl. Jede Zeile trägt einen von vier Zuständen: gilt, gilt nicht, offen, nicht geprüft. „Offen“ heißt, dass Ihre Antwort die Frage nicht entschieden hat, und die Zeile sagt dann, woran es liegt.
- „Betrifft Sie nicht“ als vollwertiges Ergebnis, mit Begründung und Fundstelle, nicht als leere Seite.
- Einen Fristenrechner. Sie tragen ein, wann Sie Kenntnis erlangt haben, er nennt die Termine für die Frühwarnung nach 24 Stunden, die Meldung nach 72 Stunden und den Abschlussbericht. Alle Zeiten in Europe/Berlin, in Stunden gerechnet, auch über den Sommerzeitwechsel.
- Eine Vorbereitungsliste mit sechs Punkten, jeder mit seiner Grundlage.
Wenn Sie den Report behalten wollen, können Sie ihn sich zuschicken lassen. Dafür geht Ihre Adresse einmal an unseren Server, der aus Ihren Antworten denselben Report neu erzeugt, ihn verschickt und danach alles verwirft. Eine Kopie bleibt bei uns nicht, einen teilbaren Link gibt es bewusst nicht.
Was der Check nicht kann, sagt er selbst. Ob Sie Hersteller sind, entscheidet sich an Verträgen und Vertriebswegen. Ob Ihr Betrieb eine 24-Stunden-Frist halten kann, an Abläufen, die sieben Fragen nicht sehen.
Wenn Sie unsicher sind
Ob Sie Hersteller im Sinne dieser Verordnung sind, lässt sich meist in zwanzig Minuten klären. Ob Ihr Betrieb eine 24-Stunden-Frist halten könnte, dauert länger und ist die wichtigere Frage. Beides besprechen wir mit Ihnen kostenlos und ohne Verpflichtung. Die Einschätzung gehört Ihnen, auch wenn daraus kein Projekt wird.
→ Kostenloses Erstgespräch vereinbaren
Alle Datums- und Artikelangaben in diesem Beitrag stammen aus einem datierten Rechtsstand vom 7. September 2026, geprüft am 8. September 2026. Quellen: Verordnung (EU) 2024/2847 (Cyber Resilience Act) in der berichtigten Fassung, geändert durch Artikel 104 der Verordnung (EU) 2025/327, Leitlinien der Kommission C(2026) 5252 vom 27. Juli 2026, FAQ der Kommission zur CRA-Umsetzung, Version 1.4 vom 4. September 2026, FAQ der ENISA zur Single Reporting Platform, Stand 7. September 2026, sowie Bundestagsdrucksache 21/6134. Dieser Beitrag ist eine Einordnung, keine Rechtsberatung.
Dieser Beitrag wurde mit KI-Unterstützung erstellt und vor der Veröffentlichung von Martin Schubert redaktionell geprüft und freigegeben. Nach Art. 50(4) der KI-Verordnung müssten wir das nicht offenlegen, weil für redaktionell verantwortete Inhalte eine Ausnahme gilt. Wir schreiben es trotzdem hin.
Fragen? Kontakt · info@datenmassiv.com
