EU Cyber Resilience Act · Artikel 14
Die Meldepflicht beginnt am 11 September 2026
Ab diesem Datum muss eine aktiv ausgenutzte Schwachstelle in etwas, das Sie in der EU in Verkehr gebracht haben, ENISA und Ihr nationales CSIRT innerhalb von 24 Stunden erreichen. Hier das ehrliche Minimum.
So sieht die Uhr tatsächlich aus
Drei Pflichten, alle ab dem Moment, in dem Sie Kenntnis erlangen. Den Kenntniszeitpunkt bekommen Teams am häufigsten falsch hin.
- 24 Stunden
Frühwarnung
ENISA + nationales CSIRT
Ab dem Moment, in dem Sie Kenntnis davon erlangen, dass eine Schwachstelle in einem von Ihnen in Verkehr gebrachten Produkt aktiv ausgenutzt wird. Kurz reicht: was Sie wissen, und dass Sie untersuchen.
In alloy-it: Die Kenntnis wird festgehalten, sobald Sie die Ausnutzung erfassen. Die 24-Stunden-Nutzlast wird aus Ihren Produkt- und Release-Daten entworfen.
- 72 Stunden
Schwachstellenmeldung
ENISA + nationales CSIRT
Das vollere Bild: betroffene Produkte und Versionen, Schwere und Auswirkungen sowie verfügbare Korrektur- oder Minderungsmaßnahmen für Nutzer.
In alloy-it: Betroffene Releases kommen aus Ihrem Inventar und Ihren Triage-Entscheidungen. Die Abgrenzung ist keine manuelle Archäologie.
- 14 Tage
Abschlussbericht
ENISA + nationales CSIRT
Sobald eine Korrekturmaßnahme verfügbar ist: Art der Schwachstelle, der Fix und was Sie dagegen unternommen haben.
In alloy-it: Das Nachweispaket zieht SBOM, Funde, Triage-Historie und Kenntniszeitlinie für das betroffene Release zusammen.
Was vor dem Stichtag stehen muss
Fünf Dinge. Keines davon verlangt ein fertiges SBOM-Programm, und die meisten Informationen haben Sie bereits.
- 1
Eine Liste der Produkte, die Sie in Verkehr gebracht haben
Ein NachmittagName, Unterstützungszeitraum und Risikoklasse je Produkt. Das ist die Einheit, für die Sie der CRA verantwortlich sind.
- 2
Die ausgelieferten Releases
Ein NachmittagVersion für Version. Fragt eine Behörde, was betroffen ist, ist das die Liste, gegen die Sie abgrenzen.
- 3
Ihre Melderidentität
30 MinutenFirmendaten, Hersteller-ID, zuständiges nationales CSIRT und ein benannter Kontakt. Das während eines Incidents auszufüllen, ist der Weg, wie Einreichungen schiefgehen.
- 4
Einen Weg, von Ausnutzung zu erfahren
Haben Sie bereitsKunde, Partner, CERT-Bulletin oder eigene Telemetrie. Manuell erfassen reicht, um die Uhr korrekt zu starten.
- 5
Jemanden, der die 24-Stunden-Uhr besitzt
Eine EntscheidungNamentlich benannt, mit Stellvertretung. Die Pflicht ist fristgebunden und pausiert nicht an Feiertagen.
Was noch nicht verlangt wird
Die meisten Teams bleiben an Pflichten hängen, die erst ab Dezember 2027 greifen. Diese wegzulegen ist oft der Schritt, der den September freimacht.
Ein vollständiges SBOM-Programm
Die Meldung nach Artikel 14 verlangt kein SBOM. Es hilft Ihnen, schneller zu finden, aber melden können Sie auch ohne.
CE-Kennzeichnung oder eine notifizierte Stelle
Konformitätsbewertung und CE-Kennzeichnung gelten ab dem 11. Dezember 2027, nicht jetzt.
E-Mails an Ihre Kunden
September 2026 ist eine Meldung an Behörden. Nutzer zu informieren gehört zur Schwachstellenbehandlung, Richtung volle Anwendung im Dezember 2027.
Eine fertige PSIRT-Funktion
Ein benannter Verantwortlicher und ein Weg, Kenntnis festzuhalten, ist das Minimum. Der Rest kann nach dem Stichtag reifen.
So sieht es aus, wenn die Uhr läuft
Kenntnis festgehalten, Fristen pro Incident verfolgt, betroffene Releases bereits aus Ihrem Inventar abgegrenzt.
| Exploit-ID | CVE | Produkt | Erste Kenntnis | 24h-Frühwarnung | 72h-Meldung | 14d final | Status |
|---|---|---|---|---|---|---|---|
| EXP-2026-004 | CVE-2026-1337 | GW-4200 Gateway | vor 68 Std. | gesendet | in 4 Std. | in 12 T. | Meldung |
| EXP-2026-003 | CVE-2026-0912 | TX-90 Sensor | vor 3 T. | gesendet | gesendet | in 9 T. | Patch in Arbeit |
| EXP-2026-002 | CVE-2025-8841 | GW-4200 Gateway | vor 22 T. | gesendet | gesendet | eingereicht | Geschlossen |
- Kenntniszeitpunkt pro Incident
- 24h-/72h-/14-Tage-Nutzlasten entworfen
- Betroffene Releases aus der Triage abgegrenzt
Das Minimum ist noch erreichbar
Legen Sie Produkte und Releases an, tragen Sie Ihre Melderidentität ein, und Sie können am ersten Tag korrekt melden. Kostenlos starten oder gemeinsam durchgehen.
Diese Seite bietet allgemeine Informationen zum EU Cyber Resilience Act und ist keine Rechtsberatung. Die Verordnung und ihre harmonisierten Normen entwickeln sich weiter: konsultieren Sie die offiziellen Quellen von EU, ENISA und BSI sowie qualifizierten Rechtsbeistand für Ihr konkretes Produkt. alloy-it hilft bei Produktinventar, SBOM-Überwachung, Triage, Nachweisen zu Artikel 14 und dem Neubau-Pfad; es ist keine CE-Kennzeichnungssoftware, keine notifizierte Stelle und reicht keine Berichte bei ENISA oder nationalen CSIRTs ein.