Ab dem 11. September 2026 läuft eine Uhr

Wer in der EU ein Produkt mit digitalen Elementen auf dem Markt bereitstellt — eine eigene App, ein vernetztes Gerät, eine an Kunden ausgelieferte Branchenlösung —, hat ab dem 11. September 2026 eine Pflicht, die sich nicht in Wochen, sondern in Stunden bemisst: Wird eine Schwachstelle im eigenen Produkt aktiv ausgenutzt, ist das zu melden. Die erste Meldung ist binnen 24 Stunden nach Kenntnis fällig.

Gut sechs Wochen vor diesem Stichtag, am 27. Juli 2026, hat die Europäische Kommission eine Auslegungshilfe zur Anwendung des Cyber Resilience Act veröffentlicht (Dokument C(2026) 5252). Sie soll die Fragen beantworten, an denen kleinere Anbieter hängen: Fällt mein Produkt überhaupt darunter? Wann löst eine Änderung neue Pflichten aus? Wie lange muss ich Updates liefern?

Dieser Beitrag beantwortet vier Fragen: Bin ich betroffen? Was ist zu melden, an wen, in welcher Frist? Was gilt für kleine Betriebe milder als die Schlagzeile vermuten lässt? Und vor allem: Was muss vorher geklärt sein, damit 24 Stunden überhaupt einzuhalten sind? Stand dieses Beitrags: 7. August 2026.

Auf einen Blick

Ab dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act. Die übrigen Hauptpflichten folgen ab dem 11. Dezember 2027.
Betroffen ist, wer ein Produkt mit digitalen Elementen im Rahmen einer gewerblichen Tätigkeit auf dem EU-Markt bereitstellt. Software, die ein Betrieb selbst entwickeln lässt und ausschließlich intern nutzt, unterliegt dem CRA nach Darstellung der Kommission nicht.
Die Pflicht hat drei Stufen: Frühwarnung binnen 24 Stunden nach Kenntnis, vollständige Meldung binnen 72 Stunden, danach ein Abschlussbericht.
Abschlussbericht: bei einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage, nachdem eine Korrektur verfügbar ist; bei einem schwerwiegenden Sicherheitsvorfall binnen eines Monats.
Erleichterung für Kleinstunternehmen und kleine Unternehmen: Wird die 24-Stunden-Frühwarnung versäumt, ist das nach Darstellung der Kommission nicht mit einer Geldbuße bedroht. Die Meldepflicht selbst bleibt, und die 72-Stunden-Meldung bleibt bußgeldbewehrt.
Gemeldet wird einmal, über die sogenannte Single Reporting Platform: an das Reaktionsteam für Cybersicherheitsvorfälle des Landes der Hauptniederlassung, das die Meldung an weitere betroffene Länder verteilt; die EU-Agentur für Cybersicherheit ENISA erhält sie gleichzeitig.
Diese Plattform ist zum Seitenstand 31. Juli 2026 noch nicht in Betrieb — sie wird gebaut, während die Frist näher rückt.
Die Auslegungshilfe vom 27. Juli 2026 ist nach Angabe der Kommission unverbindlich. Sie erklärt das Gesetz, sie ändert es nicht.

Bin ich betroffen?

Die praktische Vorfrage ist einfacher als die juristische, und Sie können sie an einem Nachmittag klären: Geben Sie Software oder ein vernetztes Gerät nach außen?

Typische Fälle in kleinen Betrieben sind eine eigene App für Kunden — Bestellung, Terminbuchung, Kundenportal —, ein Gerät, das Sie mit eigener Software ausliefern, oder eine Branchenlösung, die Sie unter eigenem Namen weitergeben. Auch dann, wenn ein Dienstleister das Produkt gebaut hat und Sie es unter Ihrem Namen anbieten, sind Sie derjenige, der es auf den Markt bringt. Wer Software dagegen ausschließlich einsetzt — Buchhaltung, Warenwirtschaft, Microsoft 365 —, ist kein Hersteller. Die Pflicht richtet sich nicht an Anwender.

Wer nichts nach außen gibt, ist nach Darstellung der Kommission nicht betroffen. Die Kommission fasst den Anwendungsbereich auf ihren eigenen Seiten so zusammen: Die Verordnung greift, wenn ein Produkt mit digitalen Elementen im Rahmen einer gewerblichen Tätigkeit auf dem Unionsmarkt bereitgestellt wird. Produkte mit digitalen Elementen, die nicht auf dem Markt bereitgestellt werden, unterliegen dem CRA demnach nicht — und dieser Gruppe ordnet die Kommission ausdrücklich Software zu, die intern genutzt und selbst entwickelt wird. Für den Betrieb, der eine Individuallösung beauftragt hat und sie ausschließlich selbst einsetzt, ist das die eigentliche Entlastung an diesem Thema.

Zwei Einschränkungen, damit dieser Satz nicht mehr trägt, als er kann. Erstens: Das ist die Zusammenfassung der Kommission, nicht der Verordnungstext selbst — die Artikel zum Anwendungsbereich und zu den Begriffsbestimmungen haben wir für diesen Beitrag nicht im Original eingesehen. Zweitens: Ob Ihr Fall in diese Gruppe fällt, bleibt eine Einordnung am Einzelfall, und die Grenze ist beweglicher, als sie klingt. Wer die intern entwickelte Lösung später einem Kunden mitverkauft, einem Partner überlässt oder als Teil eines Geräts ausliefert, verlässt die Gruppe „nicht auf dem Markt bereitgestellt". Das ist eine rechtliche, keine technische Frage.

Was Sie unabhängig davon tun können, ist das Nützlichere: die Frage nicht offen lassen. Zwei Dinge genügen als Vorarbeit. Erstens eine Liste, welche Software und welche vernetzten Geräte Ihr Betrieb nach außen gibt — diese Frage aus dem Bauch heraus zu beantworten, geht erfahrungsgemäß schief. Zweitens eine schriftliche Auskunft Ihres Softwarepartners, wie er seine und Ihre Rolle nach dem Cyber Resilience Act einordnet. Wer die Rollen erst nach einem Vorfall klärt, klärt sie zu spät.

Was zu melden ist, an wen und in welcher Frist

Die Kommission unterscheidet zwei Fälle: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Der Ablauf hat in beiden Fällen drei Stufen.

Binnen 24 Stunden nach Kenntnis: eine Frühwarnung. Sie ist keine fertige Analyse, sondern die Ansage, dass etwas vorliegt.
Binnen 72 Stunden: die vollständige Meldung mit Bewertung.
Danach ein Abschlussbericht: bei einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage, nachdem eine Korrektur verfügbar ist; bei einem schwerwiegenden Sicherheitsvorfall binnen eines Monats.

Die dritte Stufe wird regelmäßig übersehen, weil die Aufmerksamkeit an den Stundenfristen hängt. Mit der Meldung nach 72 Stunden ist der Fall also nicht abgeschlossen: Es folgt ein Bericht, und dessen Frist läuft in einer Phase, in der im Betrieb längst wieder Alltag ist. Wer den Abschlussbericht nicht von Anfang an mit einplant, wird von ihm überrascht.

Der Meldeweg ist einer, nicht mehrere. Gemeldet wird über die Single Reporting Platform an das Reaktionsteam für Cybersicherheitsvorfälle des Landes Ihrer Hauptniederlassung. Dieses Team verteilt die Meldung an die weiteren betroffenen Länder; ENISA erhält sie gleichzeitig. Sie schreiben also nicht an mehrere Stellen und müssen auch nicht selbst entscheiden, wer außer Ihrem Land betroffen ist.

Der Kanal, über den ab dem 11. September 2026 binnen Stunden gemeldet werden soll, wird noch gebaut. Die Kommission schreibt zum Seitenstand 31. Juli 2026, dass Funktions- und Sicherheitstests laufen; ENISA hat die Entwicklung an einen Dienstleister vergeben, und die Fertigstellung ist auf den Starttermin der Meldepflicht terminiert. Ein Ausweichverfahren für den Fall, dass die Plattform am 11. September 2026 nicht bereit ist, ist dort nicht beschrieben. Wir sagen an dieser Stelle nicht, ob der Termin hält — wir stellen fest, was gilt.

Für Sie folgen daraus zwei nüchterne Konsequenzen. Sie können den Ablauf vorher nicht üben: Es gibt keine Oberfläche, an der sich ein Zugang anlegen und eine Probemeldung ausfüllen ließe, und Sie sollten den Betriebsstatus vor dem 11. September 2026 selbst ansehen. Und genau deshalb zählt die organisatorische Hälfte der Vorbereitung umso mehr. Wer weiß, wer die Uhr auslöst, wer meldet und wer freigibt, ist auch dann handlungsfähig, wenn der Kanal am Stichtag wackelt. Wer das nicht weiß, verliert Stunden, bevor die Frage nach dem Formular überhaupt auftaucht.

Eine Verwechslungsgefahr zum Schluss: Fristen von 24 und 72 Stunden kennen manche Betriebe schon aus dem NIS2-Regime. Das sind zwei verschiedene Pflichtenkreise — der eine trifft Einrichtungen als Betreiber, der andere Hersteller wegen ihres Produkts. Dass Sie den einen erfüllen, erfüllt den anderen nicht.

Was für kleine Betriebe milder gilt

Ein Punkt, der neben der Schlagzeile „24 Stunden" meist untergeht, obwohl er für die Mehrheit der betroffenen Betriebe der wichtigste ist: Kleinstunternehmen und kleine Unternehmen werden nach Darstellung der Kommission nicht mit einer Geldbuße belegt, wenn sie die Frühwarnung binnen 24 Stunden versäumen.

Lesen Sie den Satz genau, denn er sagt weniger, als man ihm gern entnimmt.

Die Meldepflicht bleibt. Sie entfällt nicht, sie wird nicht später fällig, und sie steht nicht im Ermessen. Und die Erleichterung gilt nur hier. Für Meldepflichten aus anderen Regelwerken — etwa NIS2 gegenüber dem BSI — sagt sie nichts.
Die vollständige Meldung binnen 72 Stunden bleibt bußgeldbewehrt. Die Erleichterung betrifft allein die Sanktion für die versäumte Frühwarnung, nicht die Meldung selbst.
Der Abschlussbericht bleibt ebenfalls. Die Erleichterung verkürzt die Pflicht nicht auf die ersten Tage.
Bußgeldhöhen nennen wir hier nicht. Dazu kursieren Zahlen; belastbar geprüft haben wir sie nicht, und für Ihre Vorbereitung ändern sie nichts.
Wer als Kleinstunternehmen oder kleines Unternehmen gilt, richtet sich nach der EU-Definition. Wenn Ihr Betrieb an einer der Schwellen liegt, gehört das mitgeprüft, statt es anzunehmen.

Praktisch heißt das: Die 24 Stunden sind für einen kleinen Betrieb nicht die Falle, nach der sie aussehen. Wer einen Fund am Montagmorgen bemerkt und die Frühwarnung am Montagabend abschickt statt in der Nacht, steht nach dieser Darstellung nicht vor einem Bußgeldverfahren. Was das nicht heißt: dass man sich die Vorbereitung sparen kann. Die Pflicht bleibt bestehen, die 72 Stunden zählen mit Sanktion, der Abschlussbericht kommt hinterher — und in den ersten Stunden nach so einem Fund sind ohnehin Dinge zu entscheiden, die niemand im Zustand der Überraschung gut entscheidet. Die Erleichterung nimmt den Druck aus der ersten Nacht. Sie nimmt nicht die Aufgabe weg.

Was die Auslegungshilfe vom 27. Juli 2026 ist — und was nicht

Nach Angabe der Kommission behandelt das Dokument den Anwendungsbereich (darunter Remote-Datenverarbeitung sowie freie und Open-Source-Software), die Definition der wesentlichen Änderung, Support-Zeiträume, die Meldepflichten und die Risikobewertung. Die Kommission nennt 67 praktische Beispiele, dazu Anwendungsfälle, Ablaufdiagramme und Grafiken; erklärtes Ziel ist, die Einhaltung der Pflichten klar und verhältnismäßig zu halten, ohne unnötigen Verwaltungsaufwand.

Was es nicht ist: verbindlich. Die Kommission stellt selbst klar, dass die Hilfe das Gesetz nicht ändert. Für Sie heißt das: Das Dokument ist ein brauchbares Werkzeug für das Gespräch mit Ihrem Softwarepartner oder Ihrer Rechtsberatung — aber kein Freibrief, sich auf ein Beispiel darin zu berufen und die Prüfung des eigenen Falls zu überspringen.

Ein Wort zur Redlichkeit: Die Angaben zum Inhalt stammen aus der Veröffentlichungsmitteilung der Kommission, nicht aus einer eigenen Auswertung des Dokuments. Wir zitieren deshalb keine einzelnen Passagen daraus. Wer den Anwendungsbereich für ein konkretes Produkt klären will, muss in das Dokument selbst — oder in den Verordnungstext.

Was vor dem 11. September 2026 geklärt sein muss

Das ist der Teil, der über die Einhaltung entscheidet, und beides von oben macht ihn nicht überflüssig: Die Erleichterung für kleine Betriebe macht ihn nüchterner, die noch nicht betriebsbereite Plattform macht ihn wichtiger. Eine Frist scheitert selten am Formular. Sie scheitert daran, dass niemand definiert hat, wer sie auslöst und wer sie ausfüllt.

Wer die Uhr auslöst. Die Frist beginnt mit der Kenntnis — und Kenntnis entsteht irgendwo: im Support-Postfach, in einem Kundenanruf, in einer Nachricht Ihres Dienstleisters, in einem Sicherheitshinweis. Legen Sie fest, welche Eingänge als Kenntnis gelten und wer sie an jedem Tag sieht. Eine Frist von 72 Stunden über ein Wochenende ist knapper, als sie aussieht.
Wer sie ausfüllt — und wer, wenn diese Person im Urlaub ist. Benennen Sie zwei Personen namentlich, nicht eine Rolle. Genau an dieser Stelle brechen Meldeketten.
Wer entscheidet. Eine Meldung an eine Behörde geht nach außen, und in dieser Sekunde will jemand eine Freigabe. Legen Sie vorher fest, wer sie erteilt und wer ihn vertritt. Zwischen Kenntnis und Meldung ist kein Platz für eine Gesellschafterrunde.
Woher die Angaben kommen. Legen Sie vorab bereit, was Sie in einem solchen Fall über Ihr Produkt sagen müssen: Produktname und Version, betroffene Komponente, seit wann diese Version ausgeliefert wird, welche Kunden sie im Einsatz haben. Welche Felder die Plattform am Ende verlangt, wissen wir nicht — die Bestandsaufnahme lohnt trotzdem, weil sie auf jedem Meldeweg dieselbe ist.
Die zuständige Stelle. Klären Sie, welches nationale Reaktionsteam für Ihr Land zuständig ist und wie Sie es erreichen. Das lässt sich vorher beantworten, auch ohne fertige Plattform — und es ist die Angabe, die Sie im Ernstfall zuerst brauchen.
Wer den Plattformstatus verfolgt. Legen Sie eine Person fest, die vor dem 11. September 2026 nachsieht, ob und wie die Meldung technisch abzugeben ist. Ein Zugang, der am Tag des Vorfalls erst gesucht wird, ist kein Zugang.
Die Kette zu Ihrem Dienstleister. Hat ein Dienstleister Ihr Produkt gebaut, weiß er von einer ausgenutzten Schwachstelle meist früher als Sie. Vereinbaren Sie schriftlich, dass er Sie unverzüglich informiert, mit welchen Angaben und über welchen Weg er außerhalb der Bürozeiten erreichbar ist. Eine Reaktionszeit von zwei Werktagen im Wartungsvertrag verträgt sich mit diesen Fristen nicht. Das ist der häufigste stille Bruch in dieser Kette.
Ein Protokoll ab der ersten Minute. Halten Sie fest, wann Sie was von wem erfahren haben. Die Fristen knüpfen an die Kenntnis an, und im Rückblick ist deren Zeitpunkt schwer zu belegen — Ihre eigene Notiz ist das Einzige, was Sie dann haben. Sie ist außerdem die Grundlage des Abschlussberichts.
Ein Trockenlauf. Spielen Sie den Fall einmal in einer halben Stunde durch: Meldung kommt herein, wer macht was bis wann. Das braucht kein Formular und keine Plattform — es braucht nur die Beteiligten an einem Tisch. Der Erkenntnisgewinn liegt fast immer nicht im Ablauf, sondern in den zwei Lücken, die dabei auffallen.

Nichts davon braucht Technikkenntnis, und nichts davon dauert länger als einen Nachmittag. Es muss nur vor dem 11. September 2026 passieren, nicht danach.

Wenn Sie Software nur einkaufen

Dann trifft Sie die Pflicht nicht, aber ihre Rückseite: Ist mein Lieferant meldefähig? Drei Fragen genügen für den Anfang. Ordnet er sich selbst als Hersteller im Sinne des Cyber Resilience Act ein? Wie und wie schnell erfahre ich von einer aktiv ausgenutzten Schwachstelle in seinem Produkt? Wer ist dort außerhalb der Geschäftszeiten erreichbar? Ein Anbieter, der darauf klare Antworten hat, nimmt Ihnen Arbeit ab. Ausweichende Antworten sind hier das eigentliche Signal.

Die Einkäufersicht auf dieses Thema — Stückliste der verbauten Fremdbausteine, Fragen an den Anbieter, Absicherung der Lieferkette — haben wir in einem eigenen Beitrag über die Software-Lieferkette und den Cyber Resilience Act ausgeführt. Dort geht es um das, was Sie von anderen verlangen; hier um das, was Sie selbst können müssen.

Fazit

Der 11. September 2026 betrifft die Betriebe, die selbst Software oder vernetzte Geräte an Kunden abgeben. Wer Software nur einsetzt oder eine Individuallösung ausschließlich intern nutzt, ist nach Darstellung der Kommission nicht Adressat dieser Pflicht — das ist die Antwort, die den meisten kleinen Betrieben weiterhilft, und sie sollte auf einer Bestandsaufnahme beruhen und nicht auf einer Vermutung.

Wer betroffen ist, sollte die Frist nüchtern nehmen: Für Kleinstunternehmen und kleine Unternehmen ist die versäumte 24-Stunden-Frühwarnung nach Darstellung der Kommission nicht mit einer Geldbuße bedroht — die Meldepflicht selbst, die 72 Stunden und der Abschlussbericht bleiben. Und die technische Seite ist zum Stand dieses Beitrags noch nicht fertig: Der Meldekanal wird gebaut. Umso mehr ist die Aufgabe eine Organisationsaufgabe, die man einmal erledigt und dann liegen lassen kann: zwei Namen, ein Weg, ein Protokoll.

Eigene Entwickler haben wir nicht — Software entsteht bei uns über einen Partner. Was wir tun: Wir nehmen mit Ihnen auf, welche Software Ihr Betrieb nach außen gibt, schreiben den Meldeweg als nüchternen Ablauf mit Namen, Vertretung und Erreichbarkeit auf, und formulieren die Fragen an Ihren Softwarepartner und Ihre Rechtsberatung so, dass Sie belastbare Antworten bekommen. Sprechen Sie uns an, wenn Sie das vor dem 11. September 2026 erledigt haben möchten.

Rechtlicher Hinweis: Dieser Beitrag beschreibt die Rechtslage in ihren Grundzügen und ist keine Rechtsberatung. Ob und wie eine Vorschrift auf Ihr Unternehmen zutrifft, lassen Sie im Einzelfall rechtlich prüfen.

Cyber Resilience Act: Meldepflicht ab 11. September 2026