Quellen-Tabelle

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig an das national zuständige CSIRT und an die ENISA melden. Für die Frühwarnung bleiben 24 Stunden, für die vollständige Meldung 72 Stunden, für den Abschlussbericht 14 Tage.

Wichtig für den Masterplan-Punkt "Meldepflichten sind ein zweischneidiges Schwert": Hersteller müssen Sicherheitslücken jetzt sehr schnell an eine zentrale Behördenstelle melden. Das hilft, Lücken schneller zu schließen — schafft aber auch eine zentrale Datenbank aktueller Schwachstellen, die selbst ein attraktives Ziel für Angreifer sein könnte.

Die einheitliche Meldeplattform der ENISA befindet sich noch im Aufbau; ENISA übernimmt die Weiterleitung der Meldungen an die national zuständigen CSIRTs und informiert das CSIRT-Netzwerk, um Doppelmeldungen zu vermeiden.

Konkret entsteht hier eine einzige, zentrale EU-Datenbank für gemeldete Sicherheitslücken bei Millionen vernetzter Geräte — das ist die Infrastruktur, die im Masterplan-Kapitel "Honeypot-Risiko" thematisiert werden sollte, sobald die Plattform live ist.

Bei Verstößen gegen grundlegende Anforderungen oder Meldepflichten können Bußgelder bis zur Höhe von 2,5 Prozent des weltweiten Jahresumsatzes verhängt werden; als deutsche Umsetzung liegt seit dem 1. Mai 2026 ein Regierungsentwurf zum "Gesetz zur Durchführung der Verordnung (EU) 2024/2847" vor.

Auch wenn der CRA als EU-Verordnung direkt gilt, braucht es trotzdem noch ein deutsches Begleitgesetz (z. B. für Zuständigkeiten und Bußgeldhöhen) — das ist gerade erst im Entwurfsstadium.