Muss ich vor dem 11.09.2026 bekannte Schwachstellen melden?
Stand · belegt mit Primärquellen · keine Rechtsberatung · So arbeiten wir
Kurz gesagt
Nein, wenn dir die aktive Ausnutzung schon vor dem 11.09.2026 bekannt war. Das sagen die Leitlinien der Kommission (Randnummer 217): Der CRA verlangt keine rückwirkende Meldung. War dir nur die Schwachstelle bekannt und erfährst du danach von der Ausnutzung, greift Art. 14 VO (EU) 2024/2847. Die Leitlinien sind nicht bindend.
Art. 14 VO (EU) 2024/2847; Leitlinien C(2026) 5252, Randnummer 217
Halte fest, wann du was erfahren hast. Der Zeitpunkt der Kenntnis startet die Frist von 24 Stunden.
Stammt eine ausgenutzte Schwachstelle aus einer Fremdkomponente in deinem Produkt, meldest du sie laut Leitlinien auch (Randnummer 218).
Die Meldepflicht bleibt nach dem Ende des Unterstützungszeitraums bestehen (Randnummer 210).
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act)
- Europäische Kommission: Leitlinien zum Cyber Resilience Act, C(2026) 5252
- Europäische Kommission: Meldepflichten nach dem Cyber Resilience Act
Stand 02.11.2026. Maßgeblich ist der jeweils geltende Verordnungstext. Dieser Beitrag ersetzt keine Rechtsberatung.