Artikel 14 des Cyber Resilience Act: was Hersteller melden, und bis wann.
Seit dem 11. September 2026 senden Hersteller binnen 24 Stunden nach Kenntniserlangung eine Frühwarnung zu einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall in ihren Produkten mit digitalen Elementen. Hier die Pflicht auf einen Blick – und was nötig ist, um sie zu erfüllen.
Die Fristen
| Aktiv ausgenutzte Schwachstelle | Schwerwiegender Sicherheitsvorfall | |
|---|---|---|
| Frühwarnung | binnen 24 Stunden nach Kenntniserlangung | binnen 24 Stunden nach Kenntniserlangung |
| Meldung | Schwachstellenmeldung binnen 72 Stunden nach Kenntniserlangung | Meldung des Vorfalls binnen 72 Stunden nach Kenntniserlangung |
| Abschlussbericht | spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist | binnen eines Monats nach der Meldung des Vorfalls |
Die Meldungen gehen über die einheitliche Meldeplattform der ENISA gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA.
Vier Dinge, die die Pflicht erfüllbar machen
Art. 14 selbst schreibt weder Scanner noch SBOM noch eine proaktive Suche vor; die Fristen laufen ab Kenntniserlangung.
Wissen, wann Sie Kenntnis erlangt haben.
Die Frist beginnt mit Ihrer Kenntniserlangung – nicht mit der Veröffentlichung oder Behebung der Schwachstelle. Wer nicht belegen kann, wann das war, kann auch nicht belegen, dass er rechtzeitig gemeldet hat.
Binnen Stunden von einer Ausnutzung erfahren, nicht erst nach Wochen.
Ausgenutzte Schwachstellen sind in öffentlichen Katalogen wie CISA KEV und ENISA EUVD verzeichnet. Der Abgleich dieser Listen mit den Komponenten jedes Releases, das Sie verkaufen, ist von Hand auf Dauer nicht zu leisten.
Sicherstellen, dass auch eine zweite Person davon erfährt.
Bei einer 24-Stunden-Frist darf nicht alles an einem einzigen Postfach hängen. Benennen Sie eine Vertretung, die den Alarm erhält, wenn niemand gehandelt hat.
Eigene Aufzeichnungen führen.
Die Meldeplattform ist ein englischsprachiges Webformular, für das Sie ein EU-Login-Konto mit Mehrfaktor-Authentifizierung benötigen. Halten Sie selbst fest, was Sie wann mit welcher Referenz gemeldet haben.
Was der Reporting Desk für jeden Punkt tut
Der BitHive Reporting Desk übernimmt jeden dieser Punkte. Stündlich wird jede überwachte Release auf aktiv ausgenutzte Schwachstellen aus CISA KEV und ENISA EUVD geprüft, abgeglichen über die Advisory-Daten von OSV mit ihren npm-, PyPI-, Maven-, Go- und NuGet-Komponenten. Er alarmiert Ihre benannten Kontakte und Ihre Vertretung, überwacht die Fristen nach Artikel 14 ab der Kenntniserlangung, bereitet den Meldetext Feld für Feld vor und hält fest, wer wann was wusste. Die Meldung bei der ENISA reichen Sie selbst ein.
Allgemeine Informationen zu Artikel 14 der Verordnung (EU) 2024/2847, Stand Oktober 2026. Keine Rechtsberatung.