Artikel 14(2)(a) des Cyber Resilience Act, Verordnung (EU) 2024/2847, gibt einem Hersteller 24 Stunden, „nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat“, für eine Frühwarnung, und Artikel 14(4)(a) sagt dasselbe für einen schwerwiegenden Sicherheitsvorfall. Die 72-Stunden-Meldung läuft ab demselben Moment. Alles, woran ein Hersteller in den ersten drei Tagen eines Vorfalls gemessen wird, hängt daran, wann dieser Moment war, und die Verordnung definiert ihn nicht. Sie definiert das, wovon man Kenntnis haben muss: Artikel 3(42) sagt, eine aktiv ausgenutzte Schwachstelle ist eine, „für die es zuverlässige Belege dafür gibt, dass ein böswilliger Akteur sie in einem System ohne Erlaubnis des Systemeigentümers ausgenutzt hat“. Sie sagt nicht, wann zuverlässige Belege zu Kenntnis werden.

Die Leitlinien der Kommission zur Anwendung der Verordnung, C(2026) 5252 vom 27. Juli 2026, tun es, in Abschnitt 9.1, Randnummern 211 bis 218. Dieser Artikel ist diese acht Randnummern, mit den zwei älteren Texten, aus denen sie übernommen sind, angewandt auf die fünf Arten, wie ein Hersteller tatsächlich davon erfährt.

Der Maßstab: hinreichende Gewissheit nach einer ersten Bewertung

Randnummer 213 ist der entscheidende Satz. Ein Hersteller, der ein verdächtiges Ereignis feststellt oder auf eines hingewiesen wird, durch „eine Einzelperson, einen Kunden, eine Einrichtung, eine Behörde, ein Medienunternehmen oder eine andere Quelle“, „sollte das verdächtige Ereignis unverzüglich bewerten, um festzustellen, ob es eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall darstellt“, und:

Der Hersteller gilt daher als in Kenntnis gesetzt, wenn er nach einer solchen ersten Bewertung eine hinreichende Gewissheit hat, dass (i) eine in seinem Produkt mit digitalen Elementen enthaltene Schwachstelle aktiv ausgenutzt wird oder (ii) ein schwerwiegender Sicherheitsvorfall eingetreten ist und dazu geführt hat, dass die Sicherheit seines Produkts mit digitalen Elementen beeinträchtigt wurde.

Drei Dinge folgen daraus, und Randnummer 214 spricht zwei davon aus. Der Moment ist nicht das erste Signal: „Der Zeitpunkt, zu dem ein Hersteller als in Kenntnis gesetzt gelten kann, hängt von den Umständen ab“, und „in anderen Fällen kann es einige Zeit dauern, festzustellen, ob ein Produkt mit digitalen Elementen von einer Schwachstelle betroffen ist und ob diese Schwachstelle von einem böswilligen Akteur ausgenutzt wird“. Die Bewertung ist weder freiwillig noch langsam: „Der Schwerpunkt sollte auf raschem Handeln liegen, um die erste Bewertung durchzuführen und festzustellen, ob diese Bedingungen tatsächlich erfüllt sind, insbesondere wenn die Schwachstelle ein erhebliches Risiko darstellen könnte.“ Und, aus Randnummer 215, von Ihnen wird nicht erwartet, in Stunde 24 alles zu wissen: Die dreistufige Struktur „verlangt von den Herstellern, ihre Meldungen schrittweise zu aktualisieren, während ihre internen Untersuchungen voranschreiten“.

Die Uhr beginnt also weder, wenn die E-Mail ankommt, noch, wenn die Forensik abgeschlossen ist. Sie beginnt, wenn eine rasche erste Bewertung hinreichende Gewissheit erreicht, dass Ihr Produkt ausgenutzt wird oder ein schwerwiegender Vorfall seine Sicherheit beeinträchtigt hat. Das Wort, auf dem alles liegt, ist „rasch“, und deshalb muss die Bewertung ein Verfahren mit Startzeit und Verantwortlichem sein statt einer Besprechung, die jemand einberufen wird.

Woher die Worte stammen

Randnummer 212 sagt, die Leitlinien seien „an Erwägungsgrund 31 der Durchführungsverordnung (EU) 2024/2690 der Kommission und an Abschnitt II(A) der Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten nach der DSGVO angeglichen“. Diese Angleichung ist nicht lose. Erwägungsgrund 31 der NIS2-Durchführungsverordnung lautet: Wenn eine Einrichtung „ein verdächtiges Ereignis festgestellt hat oder nachdem ein möglicher Sicherheitsvorfall von einem Dritten, etwa einer Einzelperson, einem Kunden, einer Einrichtung, einer Behörde, einem Medienunternehmen oder einer anderen Quelle, an sie herangetragen wurde, sollte die betreffende Einrichtung das verdächtige Ereignis zeitnah bewerten“, und sie „gilt daher als von dem erheblichen Sicherheitsvorfall ‚in Kenntnis gesetzt‘, wenn sie nach einer solchen ersten Bewertung eine hinreichende Gewissheit hat, dass ein erheblicher Sicherheitsvorfall eingetreten ist“. Die Leitlinien des EDSA zu Datenpannen sagen in Randnummer 31, ein Verantwortlicher „gilt als ‚in Kenntnis gesetzt‘, wenn er eine hinreichende Gewissheit hat, dass ein Sicherheitsvorfall eingetreten ist, der zu einer Verletzung des Schutzes personenbezogener Daten geführt hat“, und Randnummer 34 erlaubt „einen kurzen Zeitraum der Untersuchung“, in dem der Verantwortliche „nicht als ‚in Kenntnis gesetzt‘ angesehen werden kann“, sofern die Untersuchung „so bald wie möglich beginnen sollte“.

Die praktische Folge ist groß für ein Unternehmen, das bereits ein DSGVO-Verfahren für Datenpannen hat, also für jedes Unternehmen mit Kunden. Der CRA-Auslöser ist derselbe Auslöser, angewandt auf Produktsicherheit statt auf personenbezogene Daten. Das Verfahren, die Bewertung, die zwei Zeitstempel und die entscheidende Person können dieselben sein, und ein Unternehmen, das auch nach NIS2 meldet, hat drei Pflichten auf einer Definition laufen.

Fünf Arten, wie Sie es erfahren, und was jede auslöst

Die FAQ der Kommission zur Umsetzung, Version 1.4 vom 4. September 2026, Abschnitt 5.1, zählt auf, wie ein Hersteller Kenntnis erlangen kann, ohne ihn zur Überwachung eines dieser Kanäle zu verpflichten: ein Kunde oder Partner meldet ungewöhnliche Aktivität, Bedrohungsinformationen, die Benachrichtigung einer Behörde, der Bericht eines ethischen Hackers, die eigene Telemetrie, Scans oder Honeypots des Herstellers. Zusammen mit den Leitlinien gelesen ist jedes Signal ein „verdächtiges Ereignis“, das die Bewertung startet, nicht die Uhr.

Eine E-Mail eines Kunden. Die Bewertung beginnt, wenn die E-Mail gelesen wird, und sie muss unverzüglich sein. Sind die Belege des Kunden das, was die Definition zuverlässig nennt, kann die Bewertung eine Stunde dauern, und dann beginnt die Uhr. Ein Team, das die E-Mail bis Montag liegen lässt, verschiebt die Uhr nicht auf Montag: „rasches Handeln“ aus Randnummer 214 ist der Maßstab, an dem eine Marktüberwachungsbehörde den Zeitablauf messen wird, und die einzige Verteidigung ist eine Aufzeichnung, die zeigt, wann die Bewertung begann, wer sie durchführte und was sie ergab.

Eine Scanner-Warnung, dass die CVE einer Komponente auf einer Liste ausgenutzter Schwachstellen steht. Das ist der Fall, dem die meisten Softwareunternehmen zuerst begegnen werden, und Randnummer 218 beantwortet ihn. Ein Hersteller meldet eine aktiv ausgenutzte Schwachstelle, die „in seinem Produkt enthalten“ ist. Weiß er, dass eine Komponente eines Dritten eine Schwachstelle enthält, die „entweder (i) in seinem Produkt mit digitalen Elementen nicht ausgenutzt werden kann (z. B. weil der anfällige Code nicht erreichbar ist) oder (ii) in seinem Produkt mit digitalen Elementen nicht ausgenutzt wurde, so gilt diese Schwachstelle nicht als in seinem Produkt mit digitalen Elementen enthaltene aktiv ausgenutzte Schwachstelle und unterliegt daher für diesen Hersteller nicht der Meldepflicht“. Eine Listung ist also ein verdächtiges Ereignis. Die Bewertung stellt zwei Fragen: Ist der anfällige Code in unserem Produkt erreichbar, und gibt es zuverlässige Belege, dass er in unserem Produkt ausgenutzt wird, nicht nur im Produkt eines anderen. Hinreichende Gewissheit bei beiden startet die Uhr; hinreichende Gewissheit gegen eine von beiden beendet die Sache als Pflichtmeldung und lässt den freiwilligen Weg des Artikels 15 und die Pflicht aus Artikel 13(6), die Schwachstelle an den Betreuer der Komponente zu melden. Abschnitt 5.4 der FAQ ergänzt, dass der Hersteller der Komponente selbst, wenn die Komponente gesondert in Verkehr gebracht wurde, sie ebenfalls meldet.

Ein Zero-Day aus einem Bug-Bounty-Programm oder einem Prüflabor. Keine aktiv ausgenutzte Schwachstelle und keine Pflichtmeldung. FAQ 5.2: Ein Zero-Day, „der von ethischen Hackern entdeckt wurde, für den es keine Belege für eine vorherige böswillige Ausnutzung gibt und der dem Hersteller des Produkts im Rahmen seines Bug-Bounty-Programms offengelegt wird“, unterliegt nicht der Meldepflicht, ebenso wenig einer, den „ein Cybersicherheits-Prüflabor bei Tests im Auftrag des Herstellers“ findet. Erwägungsgrund 68 sagt dasselbe über Forschung in gutem Glauben. Die Pflichten zur Schwachstellenbehandlung aus Anhang I Teil II gelten weiterhin in vollem Umfang; die Meldung nicht.

Eine Schwachstelle, die Sie schon vor dem 11. September 2026 kannten. Randnummer 217 zieht die Grenze bei der Ausnutzung, nicht bei der Schwachstelle. Ein Hersteller „ist nicht verpflichtet, Schwachstellen zu melden, von deren aktiver Ausnutzung er bereits vor dem 11. September 2026 Kenntnis erlangt hatte“. Aber „die Pflicht gilt, wenn der Hersteller vor dem 11. September 2026 von einer Schwachstelle wusste, zu diesem Zeitpunkt aber keine Kenntnis von einer aktiven Ausnutzung hatte“. Findet die Ausnutzung nach diesem Datum statt oder erfahren Sie danach davon, beginnt die Uhr an dem Tag, an dem Sie es erfahren. Eine alte Schwachstelle ist keine Verteidigung; altes Wissen um ihre Ausnutzung schon.

Ein schwerwiegender Sicherheitsvorfall. Der zweite Zweig von Randnummer 213: hinreichende Gewissheit, dass „ein schwerwiegender Sicherheitsvorfall eingetreten ist und dazu geführt hat, dass die Sicherheit seines Produkts mit digitalen Elementen beeinträchtigt wurde“. Ob ein Vorfall schwerwiegend ist, sagt Artikel 14(5): Er beeinträchtigt oder kann die Fähigkeit des Produkts beeinträchtigen, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder er hat dazu geführt oder kann dazu führen, dass Schadcode in das Produkt oder in die Systeme eines Nutzers eingebracht oder ausgeführt wird. Ein Ausfall, der nichts davon berührt, ist ein Vorfall, aber keine Meldung. Die Bewertung hat bei Vorfällen daher eine dritte Frage: Welcher der zwei Zweige von Artikel 14(5) ist erfüllt, und die Antwort gehört in das Feld der ersten Bewertung der 72-Stunden-Meldung.

Der Anwendungsbereich der Pflicht ist weiter als der Rest der Verordnung

Randnummer 210 macht zwei Punkte, die überraschen. Artikel 14 gilt ab dem 11. September 2026 für jedes Produkt mit digitalen Elementen im Anwendungsbereich, „einschließlich Produkten mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden“. Und die Meldepflicht überdauert den Unterstützungszeitraum: „Anders als die Pflichten zur Schwachstellenbehandlung, die nur für die Dauer des Unterstützungszeitraums eines Produkts fortbestehen, gelten die Meldepflichten weiter, nachdem ein Produkt mit digitalen Elementen nicht mehr unterstützt wird.“ Für ein Produkt, das vor Dezember 2027 in Verkehr gebracht wurde oder dessen Unterstützungszeitraum abgelaufen ist, muss der Hersteller weiterhin melden, „ist aber nicht verpflichtet, die Pflichten zur Schwachstellenbehandlung aus Anhang I Teil II einzuhalten“. Die FAQ, 5.3, erkennen an, dass der Hersteller bei alten Produkten „solche Schwachstellen möglicherweise nicht untersuchen kann“, weil Build-Umgebungen und Personal weg sind, und sagen, die Meldung sei dennoch geschuldet.

Nach der Meldung: Nutzer, und was nicht zu veröffentlichen ist

Die Randnummern 219 bis 221 betreffen Artikel 14(8), die Pflicht, betroffene Nutzer „und gegebenenfalls alle Nutzer“ zu informieren. Die Leitlinien lesen sie risikobasiert: Nutzer zu informieren „bedeutet nicht, dass diese Informationen öffentlich gemacht oder wahllos offengelegt werden müssen“, und Hersteller „können die Offenlegung detaillierter Informationen auf die betroffenen Nutzer oder Kunden beschränken“, insbesondere bei Produkten, „die in sensiblen oder wesentlichen Umgebungen eingesetzt werden, in denen die öffentliche Offenlegung technischer Details selbst die Cybersicherheitsrisiken erhöhen könnte“. Eine breitere Offenlegung „kann angemessen sein“, sobald die Schwachstelle behoben ist, und Anhang I Teil II Nummer 4 verlangt die öffentliche Offenlegung behobener Schwachstellen, sobald das Sicherheitsupdate verfügbar ist. Das CSIRT, das die Meldung erhalten hat, darf die Nutzer selbst informieren, wenn der Hersteller es nicht rechtzeitig tut.

Was Sie aufschreiben, bevor Sie es brauchen

Die Leitlinien machen aus „Kenntnis erlangt“ eine Feststellung statt einer Tatsache, und Feststellungen brauchen ein Verfahren. Eine Seite genügt.

  1. Was als verdächtiges Ereignis zählt. Die Liste der FAQ plus Ihre eigenen Kanäle: die Sicherheitskontaktadresse, die Anhang I verlangt, der Scanner, die Support-Warteschlange, die Nachrichten.
  2. Wer die erste Bewertung durchführt, und bis wann. Eine benannte Person und eine Vertretung, und eine Obergrenze für die Bewertung in Stunden. „Unverzüglich“ und „rasch“ sind die Worte der Kommission; eine Obergrenze, die Sie setzen und einhalten, ist der Nachweis, dass Sie sie eingehalten haben.
  3. Die zwei Fragen, im Wortlaut der Kommission. Bei einer Schwachstelle: Ist sie in unserem Produkt und erreichbar, und gibt es zuverlässige Belege für eine Ausnutzung in unserem Produkt. Bei einem Vorfall: Ist er eingetreten, hat er die Sicherheit des Produkts beeinträchtigt, und welcher Zweig von Artikel 14(5) trifft zu.
  4. Zwei Zeitstempel, beide in UTC. Wann das verdächtige Ereignis festgestellt oder empfangen wurde, und wann die Bewertung hinreichende Gewissheit erreichte. Der zweite ist „Kenntnis erlangt“ und startet die Uhr; der erste, und der Abstand zwischen beiden, zeigt, dass die Bewertung rasch war. Die Meldeplattform fragt nach dem zweiten und wird das Feld bei einer Schwachstelle erst in einer späteren Version erhalten, sodass Ihre eigene Aufzeichnung am Tag selbst die einzige ist, die existiert.
  5. Wer die Feststellung unterzeichnet, und wo sie abgelegt ist. Die Person, die entscheidet, dass hinreichende Gewissheit erreicht ist, und die Aufzeichnung, die die Marktüberwachungsbehörde lesen wird, falls der Zeitablauf je infrage gestellt wird.

Diese Aufzeichnung ist, was das CRA-Meldeereignis von StandardOS ist: eine Anwendbarkeitsbestimmung, die benannte meldende Person und ihre Vertretung, der zu wählende Koordinator, ein Zeitstempel der Kenntniserlangung mit der Begründung daneben und die drei daraus berechneten Fristen in den Begriffen der Verordnung statt denen der Plattform. Die Seite zu den Fristen berechnet sie für jeden; wie die Plattform die Meldung dann entgegennimmt, ist der nächste Artikel, und welcher Koordinator sie erhält, der davor.

Quellen

  • Verordnung (EU) 2024/2847, Artikel 3(42), Artikel 13(6), Artikel 14(1) bis (5) und (8), Artikel 15, Artikel 69(3), Erwägungsgrund 68.
  • Europäische Kommission, Leitlinien der Kommission zur Anwendung der Verordnung (EU) 2024/2847, C(2026) 5252 final vom 27. Juli 2026, Anhang, Abschnitt 9.1 Randnummern 209 bis 221 und Abschnitt 9.2.
  • Europäische Kommission, FAQ zum Cyber Resilience Act, Version 1.4 vom 4. September 2026, Abschnitte 5.1 bis 5.5.
  • Durchführungsverordnung (EU) 2024/2690 der Kommission, Erwägungsgrund 31.
  • Europäischer Datenschutzausschuss, Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten nach der DSGVO, Version 2.0, Randnummern 31 bis 34.

Dies ist keine Rechtsberatung. Die acht Randnummern der Leitlinien sind in zehn Minuten gelesen, und die Artikelnummern oben stehen dort, damit Sie es tun können.