CRA-Meldepflicht seit 11.09.2026: Betrifft das Händler?
Stand: 29.10.2026
Kurz gesagt
- Seit 11.09.2026 meldepflichtig nach Art. 14 sind Hersteller, auch Händler mit Eigenmarke (Art. 3 Nr. 13). Ob Sie melden müssen: direkt darunter.
- Fristen bei ausgenutzter Schwachstelle: Frühwarnung 24 h, Meldung 72 h, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur.
So prüfen Sie, ob Sie melden müssen
- Ja, als Hersteller, wenn Sie ein Produkt unter eigenem Namen oder eigener Marke verkaufen, z. B. eine White-Label-Kamera mit Ihrem Logo (Art. 3 Nr. 13). Ab 11.12.2027 gilt das für Händler und Einführer ausdrücklich auch, wenn sie ein Produkt wesentlich ändern (Art. 21).
- Nein, nicht nach Art. 14, wenn Sie nur Markenware weiterverkaufen. Dann gilt für Sie Art. 20 Abs. 4: Hersteller unverzüglich über eine bekannte Schwachstelle informieren, bei erheblichem Risiko zusätzlich die Marktüberwachung (ab 11.12.2027).
- Nein, nicht nach Art. 14, bei Direktimport fremder Marken: Dann sind Sie Einführer (Art. 3 Nr. 16); Ihre Pflichten nach Art. 19 gelten ab 11.12.2027. Ausnahme: Bei eigener Marke gelten Sie schon jetzt als Hersteller (Art. 3 Nr. 13), bei wesentlicher Änderung ab 11.12.2027 (Art. 21) – siehe oben.
- Wenn Sie Hersteller sind, dann den Anlass prüfen: Gemeldet werden aktiv ausgenutzte Schwachstellen im Produkt und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit des Produkts (Art. 14 Abs. 1, 3), Fristen siehe unten.
Was Hersteller melden müssen
| Anlass | Frühwarnung | Meldung | Abschluss |
|---|---|---|---|
| Aktiv ausgenutzte Schwachstelle (Art. 14 Abs. 1, 2) | unverzüglich, spätestens 24 h | spätestens 72 h | spätestens 14 Tage, nachdem eine Korrektur verfügbar ist |
| Schwerwiegender Sicherheitsvorfall (Art. 14 Abs. 3, 4) | unverzüglich, spätestens 24 h | spätestens 72 h | Abschlussbericht innerhalb eines Monats nach der 72-h-Meldung |
Gemeldet wird gleichzeitig an das koordinierende CSIRT und die ENISA, über die einheitliche Meldeplattform (Art. 14 Abs. 1, Art. 16). Koordinierendes CSIRT für Hersteller mit Hauptniederlassung in Deutschland ist CERT-Bund im BSI (Art. 14 Abs. 7). Gemeldet wird über die CRA Single Reporting Platform der ENISA, auf Englisch und mit einem EU-Login-Konto (BSI: CRA Single Reporting Platform).
Die Pflichten gelten seit 11.09.2026, auch für Produkte, die vorher in Verkehr gebracht wurden (Art. 71 Abs. 2, Art. 69 Abs. 3).
Für Hersteller, die Kleinst- oder Kleinunternehmen im Sinne der Empfehlung 2003/361/EG sind, werden für das Versäumen der 24-Stunden-Frist für die Frühwarnung (Art. 14 Abs. 2 lit. a und Abs. 4 lit. a) keine Geldbußen verhängt (Art. 64 Abs. 10 lit. a in der berichtigten Fassung, ABl. L 2025/90555; ErwG 120). Die Meldepflicht selbst und die übrigen Fristen, etwa die 72-Stunden-Meldung und der Abschlussbericht, gelten seit 11.09.2026 unverändert. Geldbußen bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes sieht die Verordnung für Hersteller vor (Art. 64 Abs. 2). Art. 64 gilt nach Art. 71 Abs. 2 erst ab 11.12.2027. Auch die deutschen Bußgeldvorschriften im CRA-Durchführungsgesetz sollen erst am 11.12.2027 in Kraft treten (Art. 4 des Gesetzes in der vom Bundestag am 15.10.2026 beschlossenen Fassung, BT-Drs. 21/8622).
Was Eigenmarken-Händler jetzt tun sollten
- Klären, wer beim Lieferanten Schwachstellen behandelt, und das vertraglich festhalten.
- Eine Kontaktstelle für Schwachstellenmeldungen einrichten (z. B. security.txt, E-Mail). Für Hersteller ist sie Pflicht (Art. 13 Abs. 17).
- Einen internen Ablauf für 24 h / 72 h festlegen: wer meldet, mit welchen Angaben.
- Zugang zur CRA Single Reporting Platform (portal.cra-srp.enisa.europa.eu) klären: EU-Login-Konto, wer meldet, wer vertritt. Eine Registrierung vor dem ersten Meldefall ist laut BSI nicht vorgeschrieben.
Nächster Schritt
CRA-Checkliste für Händler (druckbar)
Außerdem: CRA: häufige Fragen · Alle Fristen 2024 bis 2028