Fast jede Zusammenfassung der Meldepflicht des Cyber Resilience Act stellt sie als drei Fristen ab demselben Moment dar: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden, ein Abschlussbericht binnen 14 Tagen. Die ersten beiden stimmen. Die dritte ist falsch, und zwar auf eine Weise, die am Tag selbst zählt.

Artikel 14 der Verordnung (EU) 2024/2847 gilt seit dem 11. September 2026. Hier steht, was er sagt, und wo die 14 Tage tatsächlich beginnen.

Zwei Wege, je drei Fristen

Artikel 14 richtet zwei getrennte Meldewege ein. Absatz 1 schafft die Pflicht, eine aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen zu melden. Absatz 3 schafft die Pflicht, einen schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Sicherheit eines solchen Produkts zu melden. Keiner der beiden Absätze sagt etwas zur Zeit. Die Fristen stehen in den Absätzen 2 und 4, die jeweils mit „für die Zwecke der Meldung nach Absatz 1“ (bzw. 3) beginnen und drei Punkte auflisten.

Für eine aktiv ausgenutzte Schwachstelle, Artikel 14 Absatz 2:

Stufe Frist Läuft ab
(a) Frühwarnung 24 Stunden Kenntnis des Herstellers
(b) Schwachstellenmeldung 72 Stunden Kenntnis des Herstellers
(c) Abschlussbericht 14 Tage Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme

Für einen schwerwiegenden Sicherheitsvorfall, Artikel 14 Absatz 4:

Stufe Frist Läuft ab
(a) Frühwarnung 24 Stunden Kenntnis des Herstellers
(b) Vorfallsmeldung 72 Stunden Kenntnis des Herstellers
(c) Abschlussbericht ein Monat Einreichung der Meldung nach Buchstabe b

Die beiden Abschlussberichte haben verschiedene Anker, und keiner davon ist die Kenntnis.

Was das für eine Schwachstelle bedeutet

Artikel 14 Absatz 2 Buchstabe c lautet in seinem operativen Teil: Der Abschlussbericht ist fällig „spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist“. Die Maßnahme ist der Anker. Nicht der Exploit, nicht die Entdeckung, nicht die 72-Stunden-Meldung.

Daraus folgen drei Dinge, und alle drei werden in der Praxis falsch gemacht.

Die Frist für den Abschlussbericht existiert womöglich noch nicht. Wenn Sie Frühwarnung und Meldung eingereicht haben und noch an einer Behebung arbeiten, gibt es kein Datum. Kein fernes Datum, kein Datum. Ein Werkzeug, das vierzehn Tage nach Ihrer Kenntnis „Abschlussbericht fällig am 25. September“ ausgibt, hat eine Frist erfunden, die die Verordnung nicht setzt. Ein Werkzeug, das „keine Frist, bis eine Korrekturmaßnahme verfügbar ist“ ausgibt, liest den Text.

Ein Workaround startet die Uhr, nicht nur ein Patch. Der Wortlaut ist „Korrektur- oder Abhilfemaßnahme“. Eine dokumentierte Konfigurationsänderung, eine Funktion, die Sie Kunden abzuschalten empfehlen, eine Netzwerkregel: Wenn sie die Ausnutzung abmildert und Sie sie verfügbar gemacht haben, laufen die 14 Tage, ob der Code-Fix fertig ist oder nicht. Teams, die annehmen, die Uhr warte auf das Release, werden zu spät sein.

Das Datum, das Sie festhalten müssen, ist das der Verfügbarkeit, nicht das der Auslieferung. Ein Patch, der am Montag gebaut, am Mittwoch veröffentlicht und am Freitag angekündigt wird: Die ehrliche Lesart ist Mittwoch, der Tag, an dem ein Nutzer ihn bekommen konnte. Schreiben Sie diesen Tag sofort auf, denn im Abschlussbericht werden Sie ihn beschreiben.

Was das für einen Vorfall bedeutet

Artikel 14 Absatz 4 Buchstabe c läuft ab der Einreichung der 72-Stunden-Meldung, und der Zeitraum ist „ein Monat“, ein Kalendermonat und nicht 30 Tage. Der Abschlussbericht hat keine Frist, bevor die Meldung eingereicht ist, und sobald sie es ist, wird die Frist durch den Zeitpunkt der Einreichung festgelegt und durch nichts sonst.

Kalendermonate haben einen Randfall, den eine Tabellenkalkulation falsch macht. Eine am 31. Januar eingereichte Meldung wird bis zum 28. Februar beantwortet (29 in einem Schaltjahr), weil es den 31. Februar nicht gibt und der Monat endet, wo er endet. Software, die 30 Tage addiert, landet am 2. März; Software, die naiv einen Monat addiert, rollt in den März hinüber. Beide schenken Ihnen stillschweigend Tage, die Sie nicht haben. Unser Rechner begrenzt auf das Monatsende, und es ist dieselbe Funktion, die das Produkt ausführt, keine für die Seite geschriebene Kopie.

Warum die Kenntnis trotzdem der wichtigste Moment bleibt

Nichts davon macht den Zeitstempel der Kenntnis weniger wichtig. Er verankert zwei der drei Fristen auf beiden Wegen, und die Leitlinien der Kommission vom 27. Juli 2026 setzen die Schwelle für Kenntnis bei hinreichender Gewissheit, dass eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt wird: nicht das erste Gerücht, nicht die abgeschlossene Forensik. „Aktiv ausgenutzt“ selbst ist in Artikel 3 Nummer 42 definiert als eine Schwachstelle, „für die verlässliche Belege dafür vorliegen, dass ein böswilliger Akteur sie ohne Erlaubnis des Systemeigentümers in einem System ausgenutzt hat“, was theoretische Schwachstellen und nicht ausgenutzte Machbarkeitsnachweise ausschließt.

Der Nachweis, den Sie brauchen, besteht also aus drei Zeitstempeln, nicht aus einem:

  1. wann Sie im Sinne der Kommission Kenntnis erlangt haben;
  2. wann Sie die 72-Stunden-Meldung eingereicht haben;
  3. wann eine Korrektur- oder Abhilfemaßnahme verfügbar wurde.

Der erste startet die Uhren für Frühwarnung und Meldung. Der zweite startet den Abschlussbericht beim Vorfall. Der dritte startet den Abschlussbericht bei der Schwachstelle. Ein Verfahren, das nur den ersten erfasst, liefert ein selbstsicheres und falsches Datum für den Abschlussbericht, und ein Unternehmen, das das echte verpasst, steht nach Artikel 64 Absatz 2 in der obersten Sanktionsstufe, neben den Anforderungen aus Anhang I selbst.

Die Kurzfassung für Ihr Verfahren

  • 24 Stunden und 72 Stunden laufen ab Kenntnis, auf beiden Wegen.
  • Der Abschlussbericht zur Schwachstelle läuft 14 Tage ab Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme. Bis eine da ist, gibt es keine Frist, und das sollten Sie sagen, statt eine auszugeben.
  • Der Abschlussbericht zum Vorfall läuft einen Kalendermonat ab der 72-Stunden-Meldung.
  • Halten Sie alle drei Ankermomente fest, wenn sie eintreten, denn der Bericht wird danach fragen.

Wohin der Bericht geht, ist die andere Hälfte der Frage, und die Antwort ist ein bestimmtes Team in einem bestimmten Mitgliedstaat, bestimmt durch eine Regel über Ihr Unternehmen und nicht über den Vorfall.

Quellen

  • Verordnung (EU) 2024/2847, Artikel 14 Absätze 1 bis 4, gelesen im konsolidierten Text auf EUR-Lex; Artikel 3 für die Definition einer aktiv ausgenutzten Schwachstelle; Artikel 64 Absatz 2 für die Sanktionsstufe; Artikel 71 Absatz 2 für den Geltungsbeginn.
  • Leitlinien der Europäischen Kommission C(2026) 5252 vom 27. Juli 2026 zur Bedeutung von Kenntnis und aktiver Ausnutzung.

Das ist keine Rechtsberatung. Artikel 14 ist kurz, und die Absatzverweise oben stehen da, damit Sie die Lesart prüfen können, statt sie zu übernehmen.