Artikel 14 enthält zwei Meldepflichten, nicht eine, und ihre Abschlussberichte laufen auf verschiedenen Uhren

Am 11. September 2026 beginnt Artikel 14 des Cyber Resilience Act zu gelten. Er kommt fünfzehn Monate vor dem Rest der Verordnung (EU) 2024/2847, die allgemein ab dem 11. Dezember 2027 anwendbar ist, und er wartet nicht darauf, dass Sie Ihre Konformitätsarbeit abschließen.

Genau diese Lücke ist das Problem. Ein Hersteller, der von der CE-Kennzeichnung weit entfernt ist, der weder technische Dokumentation noch ein Konformitätsbewertungsverfahren vorweisen kann, unterliegt ab September dennoch vollständig Artikel 14. Mittendrin zu sein ist keine Entschuldigung für eine versäumte 24-Stunden-Frist.

Die meisten Zusammenfassungen zu Artikel 14 sagen dasselbe: „24 Stunden, 72 Stunden, 14 Tage." Das ist eine der beiden Abfolgen, und wer sie für den ganzen Artikel hält, macht drei vorhersehbare Fehler:

• Artikel 14 wird als eine Pflicht behandelt, obwohl es zwei mit unterschiedlichen Auslösern sind,
• der Abschlussbericht nach 14 Tagen wird ab Kenntnisnahme berechnet, was eine Frist erfindet, die die Verordnung nicht vorsieht,
• überwacht werden nur CVEs, obwohl die zweite Pflicht ganz ohne Schwachstelle ausgelöst werden kann.

Dieser Text ist für die Person geschrieben, die tatsächlich melden muss, und für den Berater, der einem Mandanten erklären soll, was der September bedeutet.

Kurzfassung, was heute zu tun ist (60 Minuten)

• Klären Sie, ob Sie Hersteller eines Produkts mit digitalen Elementen sind, das auf dem EU-Markt bereitgestellt wird. Wenn nicht, gilt nichts davon, und diese Feststellung sollte schriftlich vorliegen statt unterstellt zu werden.
• Bestimmen Sie, welches CSIRT Ihre Meldungen erhält. Maßgeblich ist nach Artikel 14(7) die Hauptniederlassung, nicht der Ort der Eintragung.
• Halten Sie zwei Eskalationspfade fest, nicht einen: aktiv ausgenutzte Schwachstelle und schwerwiegender Sicherheitsvorfall.
• Korrigieren Sie die Fristberechnung in Ihrem Runbook. Die beiden Abschlussberichte laufen nicht ab demselben Ereignis.
• Legen Sie die 24-Stunden-Pflicht auf eine Rufbereitschaft, nicht auf eine Person. Eine 24-Stunden-Frist, die Freitagabend beginnt, ist die, die versäumt wird.
• Beachten Sie: Artikel 14 erfasst Produkte, die am 11. September 2026 bereits auf dem Markt sind, nicht nur spätere Auslieferungen.

Die zwei Pflichten

Artikel 14(1) betrifft eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt. Artikel 14(3) betrifft einen schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Sicherheit Ihres Produkts. Das sind getrennte Pflichten mit getrennten Auslösern, und beide werden gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA gemeldet, über die zentrale Meldeplattform nach Artikel 16.

Die zweite wird übersehen, weil ein schwerwiegender Vorfall keine Schwachstelle voraussetzt. Artikel 14(5) definiert ihn in zwei Varianten, von denen jede genügt:

• er beeinträchtigt die Fähigkeit des Produkts, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder ist dazu geeignet, oder
• er hat zur Einschleusung oder Ausführung von Schadcode geführt oder ist dazu geeignet.

Lesen Sie „oder ist dazu geeignet" genau. Ein Vorfall, der diese Wirkungen hätte haben können, erfüllt den Tatbestand auch dann, wenn sie nicht eingetreten sind. Eine Überwachung, die nur veröffentlichte Schwachstellen beobachtet, kann diese Kategorie überhaupt nicht sehen.

Die zwei Uhren, die nicht dieselbe Form haben

Das ist der Teil, der falsch wiedergegeben wird, und er lohnt Genauigkeit, weil beide Abfolgen mit einer identischen 24-Stunden-Frühwarnung beginnen.

Bei einer aktiv ausgenutzten Schwachstelle, Artikel 14(2):

Bei einem schwerwiegenden Sicherheitsvorfall, Artikel 14(4):

Zwei Unterschiede sind entscheidend. Der Abschlussbericht zum schwerwiegenden Vorfall ist innerhalb eines Monats nach der 72-Stunden-Meldung fällig, nicht nach 14 Tagen. Und der Abschlussbericht zur Schwachstelle läuft ab Verfügbarkeit der Abhilfemaßnahme, nicht ab Kenntnisnahme. Ein Runbook, das 14 Tage ab Kenntnisnahme rechnet, meldet gegen eine Frist, die es nicht gibt, und hat nichts Brauchbares zu berichten, solange die Behebung nicht vorliegt.

Die 24-Stunden-Frühwarnung beim schwerwiegenden Vorfall trägt zudem eine Angabe, die bei der Schwachstelle fehlt: Sie muss mindestens angeben, ob der Vorfall mutmaßlich auf rechtswidrige oder böswillige Handlungen zurückgeht.

Die Pflicht, die niemand liest, weil sie hinter den Meldungen steht

Artikel 14(8) ist eine Pflicht gegenüber Nutzern, nicht gegenüber einer Behörde. Nach Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls muss der Hersteller die betroffenen Nutzer, und soweit angemessen alle Nutzer, über die Schwachstelle oder den Vorfall unterrichten und, soweit erforderlich, über Risikominderungs- und Abhilfemaßnahmen, die diese ergreifen können.

Sie steht hinter den Meldeabsätzen, und genau deshalb wird sie übersprungen. Korrekt beim CSIRT zu melden und den eigenen Kunden nichts zu sagen ist keine Erfüllung von Artikel 14. Es ist die Erfüllung des größten Teils davon.

Wohin Ihre Meldung tatsächlich geht

Artikel 14(7) leitet die Meldung an den elektronischen Meldeendpunkt des als Koordinator benannten CSIRT jenes Mitgliedstaats, in dem Sie Ihre Hauptniederlassung haben, also dort, wo die Entscheidungen über die Cybersicherheit des Produkts überwiegend getroffen werden. Für Hersteller ohne Niederlassung in der Union gilt eine mehrstufige Auffangregel.

Das sollte vorab schriftlich geklärt sein. Vierundzwanzig Stunden reichen nicht, um gleichzeitig herauszufinden, was passiert ist und an wen zu melden ist.

Eine Uhr, die Sie nicht steuern

Artikel 14(6) erlaubt dem koordinierenden CSIRT, erforderlichenfalls einen Zwischenbericht über den Stand anzufordern. Das lässt sich weder planen noch vorhersehen. Planbar ist nur, dass ein Prozess existiert, der eine solche Anfrage beantworten kann, was praktisch bedeutet: Zwischen der 72-Stunden-Meldung und dem Abschlussbericht muss jemand den Vorfall verantworten.

Was das bedeutet, wenn Sie Hersteller beraten

Wer Produktunternehmen berät, kann den September jetzt mit einem Datum ansprechen. Ihr Mandant braucht keine CE-Kennzeichnung, keine technische Dokumentation und kein Konformitätsbewertungsverfahren, um erfasst zu sein. Er muss Hersteller eines Produkts mit digitalen Elementen auf dem EU-Markt sein, und er braucht bis zum 11. September ein Runbook.

Das ist ein ungewöhnlich klarer Auftrag: ein festes Datum, ein abgegrenztes Ergebnis und ein Mandant, der nicht behaupten kann, die Frist sei 2027.

Die Pflichten mit dem Text, auf dem sie beruhen

Jede oben genannte Pflicht steht in der CRA-Pflichtenübersicht, jeweils mit dem Text des Amtsblatts und dem Datum ihrer Anwendbarkeit. Die Seite zu Artikel 14 ist Meldepflichten der Hersteller.

Zwei Dinge, die vor September Zeit sparen können:

• Wenn Sie nicht sicher sind, ob der CRA überhaupt für Sie gilt, beantwortet das die CRA-Anwendungsbereichsprüfung in Ihrem Browser, mit dem Artikel, auf dem jeder Schritt beruht. Kostenlos, ohne Konto, ohne Speicherung.
• Wenn Sie nur die Fristenrechnung auf einer Seite brauchen, stehen die Meldefristen nach Artikel 14 samt Quellen dort.

Nichts davon ist Rechtsberatung, und eine Feststellung ist ein Ausgangspunkt, keine Konformitätsentscheidung. Wo der CRA gilt, treffen die Pflichten den Hersteller, und kein Werkzeug nimmt sie ihm ab.