{
    "slug": "cra-meldepflichten-art-14",
    "titre": "CRA Art. 14 – Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (24h/72h/14 Tage, ab 11.09.2026)",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Artikel 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) gilt ab dem 11. September 2026 (Art. 71 Abs. 2 Unterabs. 2 CRA). Ab diesem Tag muss ein…",
    "resume_court": "**Artikel 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) gilt ab dem 11. September 2026** (Art. 71 Abs. 2 Unterabs. 2 CRA). Ab diesem Tag muss ein Hersteller jede **aktiv ausgenutzte Schwachstelle** in seinem Produkt mit digitalen Elementen und jeden **schwerwiegenden Sicherheitsvorfall**, der sich auf die Sicherheit des Produkts auswirkt, **gleichzeitig dem als Koordinator benannten CSIRT und der ENISA** melden – über die von der ENISA nach Art. 16 CRA eingerichtete **einheitliche Meldeplattform** (Single Reporting Platform, SRP). Die Meldung ist dreistufig: **Frühwarnung innerhalb von 24 Stunden**, **Meldung innerhalb von 72 Stunden** und **Abschlussbericht** – bei Schwachstellen **spätestens 14 Tage**, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, bei schwerwiegenden Sicherheitsvorfällen **innerhalb eines Monats** nach der 72-Stunden-Meldung (Art. 14 Abs. 2 und 4 CRA). Verstöße gegen Art. 14 können nach **Art. 64 Abs. 2 CRA** mit Geldbußen von **bis zu 15 000 000 EUR oder 2,5 % des weltweiten Jahresumsatzes** geahndet werden, je nachdem, welcher Betrag höher ist.",
    "faits": [
        {
            "point": "Rechtsgrundlage",
            "valeur": "Art. 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act) [EUR-Lex, CELEX:32024R2847]",
            "autorite": "A"
        },
        {
            "point": "Geltungsbeginn Art. 14",
            "valeur": "11. September 2026 [Art. 71 Abs. 2 Unterabs. 2 CRA]",
            "autorite": "A"
        },
        {
            "point": "Geltungsbeginn übrige Verordnung",
            "valeur": "11. Dezember 2027 [Art. 71 Abs. 2 Unterabs. 1 CRA]",
            "autorite": "A"
        },
        {
            "point": "Meldepflichtig",
            "valeur": "Hersteller von Produkten mit digitalen Elementen [Art. 14 Abs. 1 und 3 CRA]; Verwalter quelloffener Software nach Maßgabe von [Art. 24 Abs. 3 CRA]",
            "autorite": "A"
        },
        {
            "point": "Meldeanlass 1",
            "valeur": "jede aktiv ausgenutzte Schwachstelle, die im Produkt enthalten ist und von der der Hersteller Kenntnis erlangt [Art. 14 Abs. 1 CRA]",
            "autorite": "A"
        },
        {
            "point": "Meldeanlass 2",
            "valeur": "jeder schwerwiegende Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt [Art. 14 Abs. 3 CRA]",
            "autorite": "A"
        },
        {
            "point": "Definition „aktiv ausgenutzte Schwachstelle\u0022",
            "valeur": "„eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat\u0022 [Art. 3 Nr. 42 CRA]",
            "autorite": "A"
        },
        {
            "point": "Empfänger",
            "valeur": "gleichzeitig das gemäß Art. 14 Abs. 7 als Koordinator benannte CSIRT und die ENISA [Art. 14 Abs. 1, 3 CRA]",
            "autorite": "A"
        },
        {
            "point": "Meldeweg",
            "valeur": "ausschließlich über die einheitliche Meldeplattform nach Art. 16 CRA [Art. 14 Abs. 1, 3, 7 CRA]",
            "autorite": "A"
        },
        {
            "point": "Frist 1 – Frühwarnung",
            "valeur": "unverzüglich, in jedem Fall innerhalb von 24 Stunden ab Kenntniserlangung [Art. 14 Abs. 2 lit. a, Abs. 4 lit. a CRA]",
            "autorite": "A"
        },
        {
            "point": "Frist 2 – Meldung",
            "valeur": "unverzüglich, in jedem Fall innerhalb von 72 Stunden ab Kenntniserlangung [Art. 14 Abs. 2 lit. b, Abs. 4 lit. b CRA]",
            "autorite": "A"
        },
        {
            "point": "Frist 3 – Abschlussbericht (Schwachstelle)",
            "valeur": "spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht [Art. 14 Abs. 2 lit. c CRA]",
            "autorite": "A"
        },
        {
            "point": "Frist 3 – Abschlussbericht (Sicherheitsvorfall)",
            "valeur": "innerhalb eines Monats nach Übermittlung der 72-Stunden-Meldung [Art. 14 Abs. 4 lit. c CRA]",
            "autorite": "A"
        },
        {
            "point": "Zwischenbericht",
            "valeur": "kann vom als Koordinator benannten CSIRT angefordert werden [Art. 14 Abs. 6 CRA]",
            "autorite": "A"
        },
        {
            "point": "Nutzerinformation",
            "valeur": "Hersteller informiert betroffene Nutzer über Schwachstelle/Vorfall und ggf. Abhilfemaßnahmen, gegebenenfalls in strukturiertem, maschinenlesbarem Format [Art. 14 Abs. 8 CRA]",
            "autorite": "A"
        },
        {
            "point": "Bestandsprodukte",
            "valeur": "Art.-14-Pflichten gelten auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden [Art. 69 Abs. 3 CRA]",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen",
            "valeur": "bis zu 15 000 000 EUR oder – bei Unternehmen – bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist [Art. 64 Abs. 2 CRA]",
            "autorite": "A"
        },
        {
            "point": "Betreiber der Meldeplattform",
            "valeur": "ENISA; Betrieb und Instandhaltung durch die ENISA [Art. 16 Abs. 1 CRA]",
            "autorite": "A"
        },
        {
            "point": "Betriebsbereitschaft der Plattform",
            "valeur": "11. September 2026; funktionale und sicherheitstechnische Tests laufen [Europäische Kommission, „CRA – Reporting obligations\u0022, Stand 31.07.2026]",
            "autorite": "A"
        },
        {
            "point": "Delegierter Rechtsakt zum Aufschub der Weiterleitung",
            "valeur": "Delegierte Verordnung (EU) 2026/881 vom 11.12.2025, in Kraft seit 10.05.2026 [EUR-Lex, ELI reg_del/2026/881]",
            "autorite": "A"
        }
    ],
    "sources": [],
    "faq": [
        {
            "question": "Was regelt CRA Art. 14 – Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (24h/72h/14 Tage, ab 11.09.2026)?",
            "reponse": "Artikel 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) gilt ab dem 11. September 2026 (Art. 71 Abs. 2 Unterabs. 2 CRA). Ab diesem Tag muss ein Hersteller jede aktiv ausgenutzte Schwachstelle in seinem Produkt mit digitalen Elementen und jeden schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt, gleichzeitig dem als Koordinator benannten CSIRT und der ENISA melden –…"
        },
        {
            "question": "Für wen gilt CRA Art. 14?",
            "reponse": "Adressat sind Hersteller von Produkten mit digitalen Elementen im Sinne des CRA. Für Verwalter quelloffener Software (Open-Source-Software-Stewards) gilt die Pflicht aus Art. 14 Abs. 1 CRA, soweit sie an der Entwicklung der Produkte beteiligt sind; die Pflichten aus Art. 14 Abs."
        }
    ],
    "wikidata": [
        "Q118945294",
        "Q1377194",
        "Q3510521"
    ],
    "valid_from": "2024-12-10",
    "valid_to": null,
    "derniere_revision": "2026-09-05",
    "derniere_verification": "2026-09-05",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/cra-meldepflichten-art-14"
}