CRA-Meldepflicht: 24 Stunden, und ein Tiroler Fertiger ist Hersteller

Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten, die Hauptpflichten greifen am 11. Dezember 2027. Ein Teil wartet nicht so lang: die Meldepflichten. Sie gelten seit dem 11. September 2026, also seit einer Woche.

Für einen Fertigungsbetrieb im Tiroler Unterland ist das eine neue Rolle. Er verkauft Maschinen, keine Software. Nur sind die Steuerungssoftware in der Maschine, die Service-App beim Kunden und das intern gebaute Werkzeug genau das, was die Verordnung Produkt mit digitalem Element nennt. Ob die eigene Linie darunterfällt, klärt der Wortlaut der Verordnung. Dass die Frist gilt, klärt er nicht.

Was seit einer Woche gilt

Gemeldet wird zweierlei: aktiv ausgenutzte Schwachstellen und schwere Vorfälle, jeweils mit Auswirkung auf die Sicherheit des Produkts mit digitalem Element. Vier Uhren:

Uhr	was fällig ist	Frist
ab Kenntnis	Frühwarnung	24 Stunden
ab Kenntnis	vollständige Meldung	72 Stunden
aktiv ausgenutzte Schwachstelle	Abschlussbericht	spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme
schwerer Vorfall	Abschlussbericht	innerhalb eines Monats ab der 72-Stunden-Meldung

Eingereicht wird einmal. Die Single Reporting Platform der ENISA ist seit dem 11. September 2026 in Betrieb, die Meldung geht an die CSIRT des Mitgliedstaats der Hauptniederlassung und wird zugleich ENISA offen, außer besondere Gründe der Cybersicherheit entgegenstehen. Diese Gründe präzisiert ein delegierter Rechtsakt vom 11. Dezember 2025 (CELEX 32026R0881). Die empfangende CSIRT teilt die Meldung den Stellen jener Staaten mit, in denen das Produkt verfügbar ist.

Für uns: ein Formular, kein Paket pro Land. Stand der Quellen: 17. September 2026. Nach unserem heutigen Stand ist CERT.at die nationale CSIRT-Stelle, in die eine Meldung nach Art. 71 einläuft. Eine Arbeitsannahme, kein Paragrafenbeleg, die österreichische Marktüberwachungsbehörde ist uns nicht verifiziert. Die Leitlinien der Kommission vom 27. Juli 2026 kamen knapp sieben Wochen vor dem Stichtag, Open-Source-Stewards werden erst ab 11. Dezember 2027 meldepflichtig (Art. 71 Abs. 2 über Art. 24 Abs. 3). Um die ersten 24 Stunden dreht sich die Debatte, CERT.at verwies am 16. September im Tagesbericht auf einen Beitrag bei heise online. Fakten bleiben die Kommissionsseiten.

Symbol der Europäischen Union, Kranz aus zwölf Sternen — Der Cyber Resilience Act ist eine Verordnung und gilt unmittelbar. Die 24-Stunden-Frist ist keine Empfehlung einer Behörde. (Quelle: EU Digital Strategy)

Wo ein Fertiger in der Pflicht steht

Vier Fälle, die bei uns ständig vorkommen:

Maschine mit Steuerungs- oder Servicesoftware. Servicezugang läuft über uns.
Telemetrie- oder Flottenanwendung. Eine App, die Maschinendaten nach Hause schickt.
Konfigurator oder Auslegungstool. Stücklistenrechner oder Variantenwerkzeug, das der Kunde selbst laufen lässt.
Eigenentwicklung, die der Kunde nutzt. Das Werkzeug, das intern entstand und weitergegeben wurde, weil es praktisch war.

Die Falle ist der Satz: die Software kommt eh vom Lieferanten. Die Rolle hängt nicht daran, wer die Zeilen geschrieben hat, sondern daran, was in wessen Namen auf dem Markt liegt. Ein Zukauf schiebt die Pflicht nicht weg. Wo die Grenze zwischen Einkäufer, Händler und Hersteller verläuft, beantwortet nur der Verordnungstext, verlinkt von der CRA-Seite der Kommission, nicht die Blog-Zusammenfassung. Für die interne Liste genügt die raue Regel: Alles, was unser Haus verlässt und ein digitales Element mit Daten verbindet, kommt auf Blatt A.

Dienstag, 23:40

Ein Abnehmer meldet über den Serviceweg: Über die Service-Software einer gelieferten Maschine wird in seinem Netz ein Fehler aktiv ausgenutzt. Kurz vor Mitternacht, die Mail läuft auf die Servicerufnummer, auf ein Gerät, das jemand zu Hause liegen hat.

Bis Mittwoch 23:40 läuft die Frühwarnung. Was dann raus muss, ist Kenntnis, nicht Antwort: welches Produkt, welche Auswirkung, was wir tun, wer erreichbar ist. Bis Freitag 23:40 läuft die Vollmeldung, dann braucht es intern mehr als ein Gefühl: betroffene Versionen, wie viele Kunden, was eingegrenzt ist, wer freigegeben hat.

Die dritte Uhr überlesen fast alle. Der Abschlussbericht für eine aktiv ausgenutzte Schwachstelle ist 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme fällig, nicht nach dem Vorfall. Den Tag der Verfügbarkeit muss jemand im Haus notieren. Sonst ist der Bericht nach sechs Wochen nicht verspätet, er existiert einfach nicht. Bei einem schweren Vorfall gilt ein Monat ab der 72-Stunden-Meldung. Und in der Nacht, in der auch der eigene Betrieb getroffen ist, laufen zwei Uhren.

Fristen nach Gesetzestext und Behörden-Darstellungen, Stand 17. September 2026 (Quelle: European Commission, CRA reporting)

Drei Blätter, die den Fall tragen

Ein Meldekonzept für alles wird unpflegbar. Drei Blätter mit klaren Schnittstellen funktionieren auch in einer Tabelle, die ein Azubi führt.

Blatt A: Produktliste mit Zuständiger Person. Eine Zeile je Produkt: Name und Stand, enthaltene Software oder Firmware, ÖNACE-Code der Gesellschaft, Hauptkunden und Zielmärkte, und eine namentlich genannte Person, die für dieses Produkt melden darf. Ohne die letzte Spalte ist Blatt A eine Excel-Datei.

Blatt B: Meldepfad, eine Seite. Plattformzugang und wer ihn besitzt, Kontakt der CSIRT-Stelle, zwei Vorlagen für Frühwarnung und Vollmeldung, die Freigabewegekette in Stunden. Dazu die unangenehme Frage: Wer weckt wen um 23:40? Die Seite liegt ausgedruckt im Servicebüro, nicht auf einem Laufwerk, das nach 20 Uhr niemand mehr öffnet.

Blatt C: Nachweis. Außen: was wurde wann gemeldet, samt Bestätigung der Plattform. Innen: was wurde wann entschieden, von wem freigegeben, warum eine Maßnahme vertagt wurde. Ohne den inneren Block liest sich das Protokoll später wie ein Postfachauszug.

Die Blätter sind nicht neu, sie sind dieselben, die NIS2 verlangt: Verzeichnis, Prozess, Nachweis. Der Aufwand zählt doppelt. Wer sie für NIS2 im Eigenbetrieb füllt, hat die CRA-Unterlagen fast fertig, und wer seine Logs im eigenen Haus hat, bringt die Fakten für beide mit. Dieselbe Methode wie beim Nachweis nach Artikel 4 der KI-Verordnung: drei Blätter, pflegbar von einer Person, ohne Compliance-Stelle.

Das Problem ist das Organigramm

24 Stunden sind kein Werkzeugproblem. Es gibt kein Produkt, das diese Frist hält. Sie hält eine Person, die im Vorhinein gesagt bekommen hat, dass sie das darf, allein und ohne Rückfrage.

In den meisten Betrieben, in denen wir fragen, gibt es diese Person nicht. Es gibt jemanden, der anruft, wenn es brennt, und jemanden, der entscheidet, wenn ihm ein Zettel hingelegt wird. Dazwischen hängt die Frist, Dienstag Nacht an zwei Urlauben und einem Handyakku. Security Awareness hört hier beim Phishing-Training auf, dabei fängt sie hier an: Der Hinweis auf einen aktiven Angriff gegen ein geliefertes Produkt kommt beim Servicetelefon an, nicht bei der IT.

Unsere Empfehlung an Geschäftsführer in unserer Größe, in dieser Reihenfolge:

Meldeberechtigte Person und Stellvertretung schriftlich benennen, mit Datum, inklusive der Erlaubnis, eine Frühwarnung auch ohne vollständige Analyse abzusetzen.
Eine Person, die den Plattformzugang besitzt, und eine zweite, die ihn im Urlaub ebenfalls bekommt.
Die 14-Tage-Uhr an ein Ereignis binden, das im Haus ohnehin entsteht. Mit dem Freigabebericht wandert das Datum des Abschlussberichts in dieselbe Liste.
Im Quartal zwanzig Minuten. Einer liest Blatt B vor, alle anderen sagen, wen sie anrufen würden.

Solange Zugang, Vorlagen und Freigabekette stehen, ist eine Frühwarnung, die zu schlicht rausgeht, die bessere Fehlkalkulation als eine, die zu spät kommt. Eine Empfehlung aus dem Betrieb, keine Rechtsberatung.

Weiterführende Quellen

Fragen?

Muss unser Fertigungsbetrieb melden, obwohl wir kein Softwarehaus sind?+

Seit dem 11. September 2026 sind die Meldepflichten des Cyber Resilience Act scharf, und sie treffen Hersteller von Produkten mit digitalen Elementen. Ein Betrieb, der eine Maschine mit Servicesoftware oder ein Werkzeug an Kunden übergibt, ist in dieser Rolle, unabhängig davon, wie er sich selbst nennt. Ob das eigene Produkt unter die Definition fällt, entscheidet der Verordnungstext, nicht der eigene Marktauftritt. Diese Frage gehört vor die erste Meldung geklärt, nicht nach die zweite.

Welche Frist läuft ab wann?+

Ab Kenntnis eines aktiv ausgenutzten Fehlers oder eines schweren Vorfalls mit Auswirkung auf die Sicherheit des Produkts: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden. Der Abschlussbericht folgt bei aktiv ausgenutzten Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme, bei schweren Vorfällen innerhalb eines Monats ab der 72-Stunden-Meldung. Eingereicht wird einmal über die Single Reporting Platform der ENISA, adressiert an die CSIRT des Staates der Hauptniederlassung.

Ist das nicht dasselbe wie die NIS2-Meldung?+

Nein, es sind zwei Uhren, die in derselben Nacht laufen können: CRA meldet das Produkt, NIS2 beziehungsweise NISG meldet den eigenen Betrieb. Die Friststrukturen ähneln sich, Anlässe und Adressaten sind verschieden. Der Aufwand für die Unterlagen zählt trotzdem doppelt, weil beide Verzeichnis, Prozess und Nachweis verlangen. Wer die Blätter für die eine Pflicht füllt, ist bei der anderen nicht bei Null.