In Kraft seit dem 11. September 2026. Das ist die erste geltende CRA-Pflicht, und sie erfasst Produkte, die bereits auf dem EU-Markt sind, nicht nur neue (Art. 71 Abs. 2, Art. 69 Abs. 3).
Zwei Ereignisse, und nur diese beiden. Eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt: Jemand greift darüber an, nicht bloß, dass ein Fehler existiert. Und ein schwerwiegender Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts. Gewöhnliche Schwachstellen, die Sie entdecken und still beheben, lösen Artikel 14 nicht aus; sie fallen unter Ihren allgemeinen Prozess zur Schwachstellenbehandlung nach Anhang I.
Tritt keines der beiden Ereignisse je ein, melden Sie nie etwas. Die Pflicht ist ereignisgetrieben, wie ein Rauchmelder: Jeder muss einen haben, aber man ruft nur an, wenn es brennt.
Alles aus Art. 14 Abs. 1 bis 4. Meldungen gehen gleichzeitig an das koordinierende CSIRT Ihrer Hauptniederlassung und an ENISA, über eine einzige Einreichung auf der von ENISA betriebenen zentralen Meldeplattform (Art. 16). Der Zugang läuft über ein EU-Login-Konto; zum Start hat die Plattform keine API angekündigt, der Weg ist also ein Webformular. Den Inhalt vorab zu entwerfen ist das, was einen innerhalb von 24 Stunden rettet.
Die Uhr startet, sobald der Hersteller Kenntnis erlangt. In einem Fünf-Personen-Unternehmen ist das der Moment, in dem eine Kunden-E-Mail eintrifft, ein Forscher etwas veröffentlicht oder das eigene Monitoring eine Ausnutzung erkennt. Es gibt keine Schonfrist für „“. Die verteidigungsfähige Position ist ein schriftliches Verfahren: Wer nimmt Meldungen entgegen, wer entscheidet, was steht in der 24-Stunden-Nachricht.
Ein Verstoß gegen Artikel 14 liegt in der obersten Bußgeldstufe: bis zu 15.000.000 Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2). Eine Erleichterung: Art. 64 Abs. 10 nimmt Kleinstunternehmen und kleine Unternehmen von Bußgeldern aus, wenn sie speziell die 24-Stunden-Frühwarnfrist versäumen. Die Pflicht selbst bleibt bestehen, und die 72-Stunden- und Abschlussberichtspflichten sind weiterhin voll bußgeldbewehrt.
Artikel 14 ist unabhängig vom Dokumentationsregime (SBOM, technische Dokumentation, CE-Kennzeichnung), das ab dem 11. Dezember 2027 gilt. Sie können heute eine Meldung für ein Produkt schulden, dessen Unterlagen Sie noch nicht begonnen haben. Diese Reihenfolge überrascht die meisten Hersteller.
Zwei kostenlose Werkzeuge, die das auf Ihren Fall anwenden: die Anwendbarkeitsprüfung in zwei Minuten (gilt der CRA für Sie, mit den Fundstellen) und der SBOM-Generator (CycloneDX + SPDX aus Ihrer Manifestdatei, signiert; englischsprachig). Für keines brauchen Sie ein Konto.
Quellen, ausschließlich Primärquellen: Verordnung (EU) 2024/2847 (EUR-Lex) · Europäische Kommission, CRA-Überblick · Europäische Kommission, CRA-Meldepflichten · ENISA, Single Reporting Platform. Keine Rechtsberatung; maßgeblich ist der Verordnungstext.