Der Cyber Resilience Act gilt erst 2027? Die Meldepflicht gilt ab 11.09.2026.

Für fast alles ja. Art. 71 Abs. 2 nimmt die Meldepflicht aus Art. 14 aber ausdrücklich heraus und setzt sie auf den 11. September 2026. Ab diesem Tag müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden.

Zwei Dinge: aktiv ausgenutzte Schwachstellen, also solche, für die verlässliche Nachweise böswilliger Ausnutzung vorliegen (Art. 3 Nr. 42), und schwerwiegende Sicherheitsvorfälle mit Auswirkung auf die Sicherheit des Produkts (Art. 14 Abs. 5). Eine Schwachstelle, für die es noch kein Update gibt, aber keinen Angriff (ein Zero-Day), ein Fund aus einem Prämienprogramm für Sicherheitsforscher (Bug Bounty) oder ein Laborbefund sind nur freiwillig zu melden.

Ab dem Zeitpunkt, in dem Sie Kenntnis erlangen: Frühwarnung unverzüglich, spätestens nach 24 Stunden; Meldung spätestens nach 72 Stunden; Abschlussbericht bei einer Schwachstelle spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme, bei einem Vorfall innerhalb eines Monats nach der Meldung (Art. 14 Abs. 2 und 4).

Einmal über die Single Reporting Platform der ENISA, der Agentur der Europäischen Union für Cybersicherheit. Die Meldung geht an die staatliche Meldestelle des Mitgliedstaats Ihrer Hauptniederlassung, das sogenannte CSIRT (Computer Security Incident Response Team, das Team für die Reaktion auf IT-Sicherheitsvorfälle), und gleichzeitig an die ENISA (Art. 14 Abs. 7). Für Deutschland ist das CSIRT das BSI, das Bundesamt für Sicherheit in der Informationstechnik. Ein eigenes BSI-Portal gibt es dafür nicht.

Ja. Art. 69 Abs. 3 nimmt die Meldepflicht ausdrücklich von der Übergangsregel für Altprodukte aus. Sie gilt für alle Produkte im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, nach den Leitlinien der Kommission auch nach Ende des Unterstützungszeitraums.

In der Regel nicht. Websites, die keine Funktion eines Produkts tragen, und Dienste, die ausschließlich im Browser genutzt werden (Software-as-a-Service, SaaS), sind keine Produkte mit digitalen Elementen (Erwägungsgrund 12, Randnummer 21 der Kommissionsleitlinien). Betroffen sind installierte Software, Apps, Plugins, Firmware (die fest eingebaute Software eines Geräts) und vernetzte Geräte, jeweils samt dem Backend, also dem Server-Teil, ohne den sie nicht funktionieren.

Der Rahmen für Verstöße gegen Art. 14 liegt bei bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes (Art. 64 Abs. 2). Kleinst- und Kleinunternehmen werden für das Verpassen der 24-Stunden-Frist nicht mit Geldbußen belegt (Art. 64 Abs. 10 in der berichtigten Fassung); die 72-Stunden-Meldung und der Abschlussbericht bleiben bußgeldbewehrt.

Nein. Der Report wird in Ihrem Browser berechnet und angezeigt. Nur wenn Sie ihn per Mail wünschen, gehen Ihre sieben Antworten einmalig an unseren Server, der den Report erneut erzeugt, verschickt und danach alles verwirft. Es gibt keinen teilbaren Link.