CRA-Meldepflicht in KraftArt. 14 · seit 11. Sept. 2026
Die Software in Ihren Geräten, jeden Tag überwacht.
In einem WLAN-Thermostat stecken Linux, eine Verschlüsselungsbibliothek und das SDK des Chipherstellers. Seit dem 11. September 2026 gilt: Wird eine Schwachstelle in einer dieser Komponenten aktiv ausgenutzt, haben Sie ab Kenntnis 24 Stunden Zeit für die Frühwarnung über die Plattform der ENISA. Wir überwachen diese Komponenten über den gesamten Unterstützungszeitraum des Produkts und erstellen die Frühwarnung gemeinsam mit Ihnen.
- Keine Hardware, kein Besuch vor Ort
- Gegenseitiges NDA, bevor wir Firmware sehen
- Plattform in der EU gehostet
- Keine Meldung ohne Ihre Freigabe
Art. 14, seit 11. Sept. 2026
24 Stunden ab dem Moment, in dem Sie es wissen.
Wird eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt oder beeinträchtigt ein schwerwiegender Sicherheitsvorfall seine Sicherheit, müssen Sie das über die einheitliche Meldeplattform der ENISA melden und Ihre Nutzer informieren. Das gilt auch für Produkte, die Sie vor dem 11. September 2026 verkauft haben. Die Fristen beginnen, sobald Sie Kenntnis erlangen. Wenn niemand hinschaut, erfahren Sie es spät: von einem Kunden, einem Händler oder aus der Presse.
- gilt
- FunkanlagenCybersicherheitsanforderungen der Funkanlagenrichtlinie (RED; Delegierte Verordnung (EU) 2022/30, Normen der Reihe EN 18031) für Funkanlagen, die direkt oder über ein anderes Gerät über das Internet kommunizieren, sowie für Spielzeug, Geräte zur Kinderbetreuung und am Körper getragene Geräte mit Funk, die personenbezogene Daten verarbeiten.
- gilt
- Meldepflicht (Art. 14)Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, über die Plattform der ENISA, auch für bereits verkaufte Produkte.Frühwarnung 24 Std. · Meldung 72 Std. · Abschlussbericht 14 Tage nach der Behebung, bei einem Vorfall ein Monat
- kommt
- Der vollständige CRASicherheitsanforderungen aus Anhang I, eine Komponentenliste, Behandlung von Schwachstellen während des gesamten Unterstützungszeitraums, technische Dokumentation und CE-Kennzeichnung für neue Produkte sowie die Prüfpflichten von Einführern und Händlern. Am selben Tag endet die Anwendung der Delegierten Verordnung (EU) 2022/30.
Gegen Kleinst- und Kleinunternehmen wird keine Geldbuße verhängt, wenn sie die 24-Stunden-Frist für die Frühwarnung verpassen (Art. 64 Abs. 10). Für die Meldung nach 72 Stunden und den Abschlussbericht gilt diese Ausnahme nicht.
vier Rollen, zwei Termine
Zwei dieser Rollen melden schon heute. Zwei beginnen im Dezember 2027.
Duravigil ist für Unternehmen mit 10 bis 50 Beschäftigten gebaut.
das Angebot
Sieben Leistungen. Kein Labor, kein Besuch vor Ort.
- Firmware-Analyse
- Komponentenliste in CycloneDX mit Bewertung nach BSI TR-03183-2einmal pro Produkt
- tägliche Überwachung
- NVD · GitHub · OSV · EUVD · CISA KEVpro Produkt und Monat
- ENISA-Meldungen
- Frühwarnung, Meldung und Abschlussbericht als Entwurf zur Prüfungin der Überwachung enthalten
- Meldekanal
- Offenlegungsrichtlinie, security.txt und eine Adresse auf Ihrer Domainin der Überwachung enthalten
- Sicherheitstest
- Cloud, Web und API, vorerst nur passivpro Test oder in der Monatsgebühr
- Lieferantenprüfung
- Akte nach Art. 19 pro Modell, zehn Jahre aufbewahrtpro Modell und Monat
- Schnellprüfung
- Technische Einschätzung vor dem Kauf: geeignet, mit Zweifeln oder nicht geeignetpro Prüfung
Die Preise stehen in einem schriftlichen Angebot, pro Produkt oder Modell. Für den Start brauchen wir eine Ansprechperson und die Firmware oder die Komponentenliste jedes Produkts, beim Import die Liste der Modelle und Lieferanten. Bevor wir etwas ansehen, unterzeichnen wir ein gegenseitiges NDA.
Fragen
Was Hersteller und Einführer uns fragen.
01Ich verkaufe nur in einem EU-Land. Gilt der CRA für mich?
Ja. Der CRA gilt für jedes Produkt mit digitalen Elementen, das in der EU auf dem Markt bereitgestellt wird, egal wo es hergestellt wird.
02Zählen auch die Cloud und die App?
Wenn das Gerät ohne sie seine Aufgabe nicht erfüllen kann und Sie sie entwickelt haben oder sie unter Ihrer Verantwortung entwickelt wurden, ja: Die Verordnung behandelt sie als Teil des Produkts (Datenfernverarbeitung, Art. 3 Nr. 2). Ein Webdienst, der für sich allein verkauft wird, ohne Gerät oder zu installierende Software, fällt nicht unter den CRA.
03Ich verkaufe unter meiner Marke Geräte, die ein anderes Unternehmen für mich herstellt. Ist nicht dieses Unternehmen der Hersteller?
Nicht im Sinne des CRA. Hersteller ist, wer das Produkt unter seinem Namen oder seiner Marke vermarktet, egal wer es gebaut hat (Art. 3 Nr. 13), und ein Einführer oder Händler, der ein Produkt unter eigener Marke in Verkehr bringt, übernimmt die Pflichten des Herstellers (Art. 21). Die Meldepflicht, die schon gilt, liegt also bei Ihnen. Ihr Lieferant muss Ihnen die Liste der Komponenten geben und Ihnen die Schwachstellen mitteilen, die er kennt.
04Ich importiere Geräte von außerhalb der EU. Was muss ich tun, und ab wann?
Ihre Pflichten beginnen am 11. Dezember 2027 (Art. 19). Ab diesem Tag müssen Sie vor dem Inverkehrbringen prüfen, dass der Hersteller die Konformitätsbewertung durchgeführt und die technische Dokumentation erstellt hat, dass das Produkt die CE-Kennzeichnung trägt und Konformitätserklärung und Anleitung beiliegen und dass die Kontaktdaten des Herstellers und das Ende des Unterstützungszeitraums angegeben sind. Produkte, die Sie ab diesem Datum in Verkehr bringen, müssen konform sein, auch wenn Sie sie früher gekauft haben. Deshalb lohnt es sich, Ihre Lieferanten schon jetzt zu fragen.
05Wer reicht die Meldung bei der ENISA ein?
Die Pflicht hat der Hersteller. Auf der Plattform reicht eine als Vertreter registrierte Person die Meldung ein, und sie geht an das CSIRT des Landes, in dem Sie Ihre Hauptniederlassung haben. In der Regel ist jemand aus Ihrem Unternehmen der primäre Vertreter (Primary), und wir kommen mit Ihrer schriftlichen Genehmigung als sekundärer Vertreter (Secondary) dazu. Bis Ihr primärer Vertreter verifiziert ist und uns einlädt, reicht er die Meldung mit dem Text ein, den wir vorbereiten.
06Muss ich die Software-Stückliste (SBOM) veröffentlichen?
Nein. Für Produkte, die Sie ab dem 11. Dezember 2027 in Verkehr bringen, brauchen Sie eine Software-Stückliste, müssen sie aktuell halten und den Behörden auf Verlangen vorlegen. Ob Sie sie veröffentlichen, entscheiden Sie (Anhang II Nr. 9).
07Brauche ich eine notifizierte Stelle?
Das hängt von der Kategorie ab. Für die meisten Geräte (die Standardkategorie) reicht das Verfahren der internen Kontrolle: Sie bewerten die Konformität selbst (Modul A). Bei Produkten der Klasse I, etwa intelligenten Türschlössern, Sicherheitskameras oder Routern, nur dann, wenn Sie harmonisierte Normen nicht vollständig anwenden, und Stand 13. Oktober 2026 sind diese Normen noch nicht im Amtsblatt der EU veröffentlicht. Bei Produkten der Klasse II und bei kritischen Produkten ist immer ein Dritter beteiligt: eine notifizierte Stelle oder ein europäisches Schema nach dem Rechtsakt zur Cybersicherheit (Cybersecurity Act). Der Selbsttest gibt Ihnen eine erste Einschätzung.
warum wir das machen
Fünf Jahre Unterstützung heißen fünf Jahre Überwachung.
Der CRA verlangt die Behandlung von Schwachstellen während des gesamten Unterstützungszeitraums eines Produkts, in der Regel mindestens fünf Jahre (Art. 13 Abs. 8), und eine Frühwarnung innerhalb von 24 Stunden, nachdem Sie von einer aktiv ausgenutzten Schwachstelle erfahren haben (Art. 14). Ein Audit deckt den Tag ab, an dem es stattfand. Wir prüfen jedes Produkt jeden Tag, solange dieser Zeitraum läuft.
Duravigil ist ein Service der HIDENENTERPRISES S.L. mit Sitz in Cervera (Lleida), Spanien.