CRA-Meldepflichten ab 11. September 2026: Was NIS2-Organisationen jetzt tun müssen

Ihr Kunde liefert smarte HVAC-Steuerungen an Bürogebäude in ganz Europa. Am 12. September 2026 meldet ein Forscher, dass Angreifer eine Schwachstelle in der Firmware aktiv ausnutzen. Ab diesem Moment hat Ihr Kunde 24 Stunden, um eine Frühwarnung beim nationalen CSIRT und bei ENISA einzureichen.

Diese Pflicht ist neu. Die CRA-Meldepflichten nach Article 14 des Cyber Resilience Act gelten ab dem 11. September 2026 — volle 15 Monate vor dem Rest der Verordnung. Wer NIS2-regulierte Organisationen berät, die auch Produkte mit digitalen Elementen herstellen oder verkaufen, für den gilt diese Frist ebenfalls.

Die meisten Berater haben den CRA als Thema für 2027 abgelegt. Der Meldeteil ist ein Thema für 2026 — und er kommt in zwei Wochen.

CRA-Meldepflichten gelten ab dem 11. September 2026

Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen zwei Dinge melden: aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Vorfälle, die die Sicherheit dieser Produkte betreffen.

Der Anwendungsbereich ist breit. Router, smarte Schlösser, Industriesteuerungen, IP-Kameras, Firmware und Standalone-Software gelten alle als Produkte mit digitalen Elementen. Die Pflicht erfasst auch Produkte, die heute bereits auf dem Markt sind — nicht nur Produkte, die nach dem Stichtag ausgeliefert werden.

Meldungen laufen über das CRA Single Reporting Platform von ENISA. Der Hersteller meldet einmal; die Meldung erreicht das CSIRT des Mitgliedstaats seiner Hauptniederlassung, und ENISA sieht sie gleichzeitig. Die Europäische Kommission hat bestätigt, dass die Plattform in der finalen Testphase ist und am 11. September 2026 betriebsbereit sein wird.

Entscheidend ist der Auslöser: aktiv ausgenutzt heißt, jemand nutzt die Schwachstelle in freier Wildbahn. Eine im internen Code-Review gefundene Schwachstelle bleibt intern — vorerst, behandelt über normale Coordinated Vulnerability Disclosure.

Der CRA ist nicht NIS2 — und viele Ihrer Kunden fallen unter beide

NIS2 reguliert Einrichtungen: wie eine Organisation ihre Netze betreibt, ihr Risikomanagement, ihre Incident Response. Der CRA reguliert Produkte: was ein Hersteller ausliefert, wie er Schwachstellen in diesem Produkt behandelt und wie lange er Sicherheitsupdates bereitstellt.

Nehmen Sie einen mittelständischen Medizintechnikhersteller. Unter NIS2 ist er eine wichtige Einrichtung im Gesundheitssektor — Werke, IT und Incident-Handling fallen unter die zehn Maßnahmen aus Article 21. Jedes ausgelieferte Gerät fällt separat unter den CRA. Zwei Regime, ein Unternehmen, unterschiedliche Pflichten, unterschiedliche Aufsichtsbehörden.

Auch die Meldewege sind getrennt. NIS2-Vorfallsmeldungen gehen an die zuständige Behörde oder das CSIRT für den betroffenen Dienst. CRA-Meldungen laufen über das Single Reporting Platform für das betroffene Produkt. Die eine Meldung ersetzt die andere nicht.

NIS2 vs. ISO 27001 — Anforderungsvergleich
◈Nur NIS2
Pflicht zur Vorfallsmeldung an Behörden (24h / 72h)
Persönliche Haftung auf Leitungsebene für Cybersicherheit
Lieferkettensicherheitspflichten für wesentliche Einrichtungen
Sektorspezifische regulatorische Pflichten
⬡Gemeinsame Anforderungen
Informationssicherheits-Risikomanagement
Zugangssteuerung und Identitätsmanagement
Geschäftskontinuität und Notfallwiederherstellung
Sicherheitsbewusstsein und Schulung
◇Nur ISO 27001
Interne Audit- und Managementbewertungszyklen
Dokumentation der Erklärung zur Anwendbarkeit (SoA)
Formelle Zertifizierung und externe Prüfung
◈Nur NIS2
Pflicht zur Vorfallsmeldung an Behörden (24h / 72h)
Persönliche Haftung auf Leitungsebene für Cybersicherheit
Lieferkettensicherheitspflichten für wesentliche Einrichtungen
Sektorspezifische regulatorische Pflichten
⬡Gemeinsame Anforderungen
Informationssicherheits-Risikomanagement
Zugangssteuerung und Identitätsmanagement
Geschäftskontinuität und Notfallwiederherstellung
Sicherheitsbewusstsein und Schulung
◇Nur ISO 27001
Interne Audit- und Managementbewertungszyklen
Dokumentation der Erklärung zur Anwendbarkeit (SoA)
Formelle Zertifizierung und externe Prüfung
Die mittlere Spalte zeigt Anforderungen, die NIS2 und ISO 27001 gemeinsam haben

Ein Ereignis kann zwei Meldeuhren starten

Jetzt wird es operativ. Angenommen, der HVAC-Hersteller ist zugleich wichtige Einrichtung unter NIS2, und die ausgenutzte Firmware-Schwachstelle verschafft Angreifern Zugang zu seinem eigenen Produktionsnetz. Dieses eine Ereignis löst beide Regime gleichzeitig aus.

Unter dem CRA läuft die Uhr: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht spätestens 14 Tage, nachdem eine Korrekturmaßnahme für eine ausgenutzte Schwachstelle verfügbar ist. Bei schwerwiegenden Produktvorfällen ist der Abschlussbericht binnen eines Monats fällig.

Unter NIS2 läuft parallel die Uhr für den erheblichen Vorfall auf Einrichtungsseite: Frühwarnung binnen 24 Stunden, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Die NIS2-Fristen gelten je nach Mitgliedstaat seit 2024–2025; die offiziellen Meldevorlagen sind inzwischen standardisiert.

Gleiches Ereignis, zwei Meldungen, zwei Empfänger, zwei Nachweisketten. Ein Incident-Response-Runbook, das nur NIS2 kennt, ist jetzt ein halbes Runbook.

NIS2 Zeitplan für die Vorfallmeldung
24h
⚡
Frühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
Schritt 1
72h
📋
Vorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
Schritt 2
1mo
📊
Abschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.
Schritt 3
24h
⚡
Frühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
72h
📋
Vorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
1mo
📊
Abschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.

Die Bußgelder addieren sich

Der CRA sieht Bußgelder bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes vor — und diese oberste Stufe umfasst ausdrücklich Verstöße gegen die Meldepflichten aus Article 14. NIS2 kommt hinzu: bis zu 10 Mio. € oder 2 % für wesentliche Einrichtungen, 7 Mio. € oder 1,4 % für wichtige Einrichtungen.

Es sind getrennte Rechtsgrundlagen. Ein Hersteller, der beim selben Ereignis beide Meldungen versäumt, haftet unter beiden Verordnungen — plus DSGVO, wenn personenbezogene Daten betroffen sind. Aufsichtsbehörden verrechnen das eine Bußgeld nicht mit dem anderen.

Die nicht-finanziellen Folgen folgen demselben Muster wie bei NIS2: Marktüberwachungsbehörden können Korrekturmaßnahmen erzwingen, die Bereitstellung eines Produkts einschränken oder es vollständig vom EU-Markt nehmen. Für ein Produktunternehmen schmerzt das mehr als das Bußgeld.

NIS2-Sanktionseskalation — Jenseits der Geldbuße
!
Auslöser
Non-Compliance erkannt oder Vorfall tritt ein
Eine Aufsichtsbehörde identifiziert eine Compliance-Lücke oder eine Organisation erfüllt die NIS2-Anforderungen nicht
Behörden können verhängen
▼
Nicht-finanzielle Sanktionen
1
Anordnungen mit bindenden Fristen
2
Verpflichtende Sicherheitsaudits auf eigene Kosten
3
Öffentliche Bekanntmachung von Verstößen
4
Bindende Anweisungen zu spezifischen Sicherheitsmaßnahmen
Eskaliert zu
▼
Betriebliche und persönliche Konsequenzen
1
Aussetzung von Zertifizierungen oder Betriebsgenehmigungen
2
Vorübergehendes Verbot von Leitungsfunktionen für Personen
3
Öffentliche Benennung verantwortlicher natürlicher Personen
Auslöser
Nicht-finanziell
Betrieblich / persönlich

Was MSPs und Berater vor dem 11. September tun sollten

Beginnen Sie mit einer Bestandsfrage, die Sie diese Woche beantworten können: Welche Ihrer Kunden bringen Produkte mit digitalen Elementen auf den EU-Markt? Hersteller, Importeur und selbst White-Label-Händler tragen CRA-Pflichten. Rebrandet ein Kunde Fremdhardware und verkauft sie unter eigenem Namen, gilt er als Hersteller.

Für jeden qualifizierenden Kunden zählen jetzt fünf Schritte.

Erstens: Hauptniederlassung bestimmen. Sie entscheidet, welches nationale CSIRT die Meldungen über die Plattform erhält.

Zweitens: Detektion mit Meldung verdrahten. Eine 24-Stunden-Frist scheitert samstags um 3 Uhr nachts, wenn Hinweise von Forschern, Kunden und Monitoring nicht in einen definierten Bereitschaftspfad laufen. Das ist dieselbe Disziplin, die NIS2 beim Schwachstellenmanagement nach Article 21(2)(e) bereits verlangt — ziehen Sie sie auf die Produktseite durch.

Drittens: Incident-Response-Runbook aktualisieren, sodass eine Triage beide Fragen beantwortet: Ist das ein erheblicher Vorfall unter NIS2, und ist das ein meldepflichtiges Ereignis unter dem CRA? Eine Schweregradmatrix, zwei Ausgabepfade.

Viertens: Lieferkette prüfen. Integriert Ihr Kunde Komponenten Dritter, sollten seine Lieferantenverträge Upstream-Anbieter verpflichten, Exploit-Informationen schnell genug weiterzugeben, um die 24-Stunden-Uhr zu halten.

Fünftens: Für das Single Reporting Platform registrieren, sobald das Onboarding öffnet — nicht am Tag des ersten Vorfalls.

Für MSPs ist das auch eine Chance. Kunden, die sich durch die NIS2-Registrierung gekämpft haben, stehen jetzt vor einem zweiten Regime mit engeren Uhren. Wer beide in einem Assessment abbildet, gewinnt den Retainer.

Zwei Wochen reichen — wenn Sie mit der Lücke beginnen

Sie brauchen am 11. September kein fertiges CRA-Programm. Sie müssen wissen, welche Kunden im Scope sind, wohin ihre Meldungen gehen und ob ihr Incident-Prozess eine 24-Stunden-Frist hält. Das ist eine Gap-Analyse, kein Transformationsprojekt.

Führen Sie für jeden produktliefernden Kunden einen kostenlosen NIS2 Quick Scan durch, um die Compliance-Haltung auf Einrichtungsseite zu bestimmen — und übertragen Sie die Ergebnisse auf die Produktseite. Die Organisationen, die den September gut überstehen, sind die, die ihre Lücken im August kannten.