Meldepflichten nach der Cyberresilienz-Verordnung der EU ab dem 11. September 2026 und die Konzeptionspflicht der Datenverordnung für vernetzte Produkte, die nach dem 12. September in Verkehr gebracht werden

Weshalb die Meldepflicht vor dem Rest der Verordnung gilt

Die Cyberresilienz-Verordnung ist am 10. Dezember 2024 in Kraft getreten und gilt als Ganzes ab dem 11. Dezember 2027: Die grundlegenden Cybersicherheitsanforderungen des Anhangs I, die Konformitätsbewertung, die CE-Kennzeichnung und das Instrumentarium der Marktüberwachung beginnen alle dann (Art. 71 Abs. 2). Zwei Teile wurden vorgezogen. Kapitel IV über die Notifizierung von Konformitätsbewertungsstellen gilt ab dem 11. Juni 2026, damit die Stellen bestehen, bevor die Hersteller sie brauchen. Art. 14, die Meldepflicht, gilt ab dem 11. September 2026. Und Art. 69 Abs. 3 bestimmt, dass die in Art. 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung gelten, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden; die Meldepflicht ist also nicht auf neue Produkte beschränkt: Ein 2024 in die Union verkauftes Produkt fällt ab dem 11. September 2026 ebenso darunter wie ein Produkt, das nächstes Jahr verkauft wird.

Die Meldung setzt keine Konformitätsbewertung und keine CE-Kennzeichnung voraus; sie setzt einen Hersteller voraus, der weiss, dass eine Schwachstelle in seinem Produkt ausgenutzt wird oder dass ein Sicherheitsvorfall die Sicherheit des Produkts beeinträchtigt hat, und einen Kanal zu den Behörden. Art. 16 überträgt der ENISA die Aufgabe, diesen Kanal einzurichten, die zentrale Meldeplattform. Am 11. September 2026 gab die ENISA bekannt, dass sie die Plattform in einer ersten Betriebsstufe (initial operating capability) bereitgestellt hat, und die Seite zu den Meldepflichten der Kommission beschreibt die Plattform als seit diesem Datum betriebsbereit. Am 27. Juli 2026 veröffentlichte die Kommission Leitlinien zur Anwendung der Verordnung (C(2026) 5252), die sich in ihrem Abschnitt 9 mit den Meldepflichten befassen, und am 4. September 2026 aktualisierte sie ihre häufig gestellten Fragen; beides sind Leitlinien und stehen im Rang unter der Verordnung.

Was Art. 14 verlangt

Die Pflicht trifft den Hersteller, den Art. 3 als die natürliche oder juristische Person definiert, die Produkte mit digitalen Elementen entwickelt oder herstellt oder konzipieren, entwickeln oder herstellen lässt und sie unter ihrem eigenen Namen oder ihrer eigenen Handelsmarke vermarktet, sei es entgeltlich, zur Monetarisierung oder unentgeltlich. Zwei Ereignisse lösen sie aus. Nach Art. 14 Abs. 1 muss der Hersteller jede aktiv ausgenutzte Schwachstelle im Produkt melden, von der er Kenntnis erlangt; nach Art. 14 Abs. 3 jeden schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts. Art. 14 Abs. 5 legt den Massstab für die Schwere fest: Ein Sicherheitsvorfall ist schwerwiegend, wenn er die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, beeinträchtigt oder beeinträchtigen kann, oder wenn er zur Einführung oder Ausführung von Schadcode im Produkt oder in den Netz- und Informationssystemen eines Nutzers geführt hat oder führen kann. Die eigene Beurteilung dieser Begriffe durch den Hersteller muss innert Stunden nach der Entdeckung erfolgen, mit den Leitlinien und den häufig gestellten Fragen der Kommission als veröffentlichter Hilfestellung.

Die Frist läuft ab dem Zeitpunkt, in dem der Hersteller Kenntnis erlangt, und jede Stufe ist unverzüglich und in jedem Fall innerhalb der genannten Frist fällig. Für eine aktiv ausgenutzte Schwachstelle verlangt Art. 14 Abs. 2 eine Frühwarnung innert 24 Stunden, in der gegebenenfalls die Mitgliedstaaten anzugeben sind, in deren Hoheitsgebiet das Produkt nach Kenntnis des Herstellers bereitgestellt wurde; eine Schwachstellenmeldung innert 72 Stunden, sofern die Informationen nicht bereits übermittelt wurden, mit allgemeinen Informationen über das Produkt, die Art der Ausnutzung und die Schwachstelle, etwaigen ergriffenen Korrektur- oder Risikominderungsmassnahmen oder solchen, die die Nutzer ergreifen können, und einer Angabe, wie sensibel die Informationen sind; und einen Abschlussbericht spätestens 14 Tage nach dem Zeitpunkt, zu dem eine Korrektur- oder Risikominderungsmassnahme zur Verfügung steht. Für einen schwerwiegenden Sicherheitsvorfall verlangt Art. 14 Abs. 4 die Frühwarnung innert 24 Stunden, in der zumindest anzugeben ist, ob der Verdacht besteht, dass der Vorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde, eine Meldung des Sicherheitsvorfalls innert 72 Stunden und einen Abschlussbericht innert eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls. Art. 14 Abs. 8 fügt die Pflicht gegenüber dem Markt hinzu: Nachdem der Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall erlangt hat, muss er die betroffenen Nutzer des Produkts und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall und erforderlichenfalls über Risikominderungs- und Korrekturmassnahmen informieren, die sie ergreifen können, gegebenenfalls in einem strukturierten, maschinenlesbaren Format; informiert der Hersteller die Nutzer nicht rechtzeitig, kann das CSIRT dies tun.

Die Meldung geht an zwei Adressaten zugleich: an das im massgeblichen Mitgliedstaat als Koordinator benannte CSIRT und an die ENISA, über die zentrale Meldeplattform (Art. 14 Abs. 1 und 3 in Verbindung mit Art. 16). Welcher Mitgliedstaat massgeblich ist, entscheidet Art. 14 Abs. 7. Für einen Hersteller mit Hauptniederlassung in der Union ist es der Mitgliedstaat dieser Niederlassung: der Mitgliedstaat, in dem die Entscheidungen über die Cybersicherheit seiner Produkte überwiegend getroffen werden, oder, wenn sich dieser Mitgliedstaat nicht bestimmen lässt, der Mitgliedstaat, in dem der Hersteller die Niederlassung mit der höchsten Beschäftigtenzahl in der Union hat. Hat ein Hersteller keine Hauptniederlassung in der Union, arbeitet der Artikel anhand der dem Hersteller vorliegenden Informationen eine Liste ab: der Mitgliedstaat des Bevollmächtigten, der für die höchste Zahl seiner Produkte handelt, dann des Einführers, der die höchste Zahl in Verkehr bringt, dann des Händlers, der die höchste Zahl bereitstellt, und schliesslich der Mitgliedstaat mit der höchsten Zahl von Nutzern. Ein Schweizer, britischer oder US-amerikanischer Hersteller ohne Hauptniederlassung in der Union wählt sein CSIRT daher in der Praxis, wenn er seinen Bevollmächtigten benennt.

Art. 15 erlaubt Herstellern und anderen Personen, Schwachstellen, Cyberbedrohungen, Sicherheitsvorfälle und Beinahe-Vorfälle freiwillig zu melden. Nach Art. 16 Abs. 2 leitet das CSIRT, das eine Meldung zuerst erhält, sie über die Plattform an die CSIRTs der Mitgliedstaaten weiter, in denen das Produkt bereitgestellt wurde, und kann die Weiterleitung unter aussergewöhnlichen Umständen aus begründeten Cybersicherheitsgründen verzögern; die Delegierte Verordnung (EU) 2026/881, erlassen nach Art. 14 Abs. 9, legt die Bedingungen für die Anwendung dieser Gründe fest. Keine der beiden Bestimmungen ändert die Fristen des Herstellers.

Wer sonst in der Kette steht

Einführer und Händler melden nicht nach Art. 14, und ihre eigenen Pflichten gelten mit dem Rest der Verordnung ab dem 11. Dezember 2027. Ab dann muss ein Einführer den Hersteller und die Marktüberwachungsbehörden informieren, wenn ein Produkt ein erhebliches Cybersicherheitsrisiko darstellt, und den Hersteller unverzüglich über eine Schwachstelle informieren, von der er Kenntnis erlangt (Art. 19 Abs. 3 und 5); Art. 20 Abs. 3 und 4 legen den Händlern parallele Pflichten auf. Art. 18 über Bevollmächtigte gilt ebenfalls erst ab diesem Datum, obwohl Art. 14 Abs. 7 den Standort des Bevollmächtigten bereits zur Bestimmung des CSIRT heranzieht. Sobald er gilt, nimmt Art. 18 Abs. 2 die Pflichten des Herstellers nach Art. 13 Abs. 1 bis 11, Art. 13 Abs. 12 erster Unterabsatz (Erstellung der technischen Dokumentation) und Art. 13 Abs. 14 vom Auftrag aus, und Art. 18 Abs. 3 verlangt, dass der Auftrag dem Bevollmächtigten zumindest gestattet, die EU-Konformitätserklärung und die technische Dokumentation für die Marktüberwachungsbehörden bereitzuhalten, auf begründetes Verlangen Informationen zu erteilen und bei Massnahmen zur Beseitigung von Risiken zusammenzuarbeiten. Art. 14 gehört nicht zu den ausgenommenen Pflichten. Nach unserer Einschätzung kann der Auftrag den Bevollmächtigten mit der Einreichung der Meldungen betrauen; die Pflicht und das Risiko einer verspäteten oder unterbliebenen Meldung bleiben aber beim Hersteller.

Quelloffene Software wird gesondert behandelt. Die Verordnung gilt für Produkte, die auf dem Markt bereitgestellt werden, was Art. 3 über die Abgabe im Rahmen einer Geschäftstätigkeit definiert, und Erwägungsgrund 18 erläutert, dass freie und quelloffene Software, die ausserhalb einer Geschäftstätigkeit bereitgestellt wird, auf dieser Grundlage nicht erfasst ist; die Pflichten der Verwalter quelloffener Software nach Art. 24 gelten erst ab dem 11. Dezember 2027, wenn Art. 24 Abs. 3 die Verwalter Teilen von Art. 14 unterwirft. Ein Unternehmen, das eine quelloffene Komponente in ein Produkt integriert, das es in Verkehr bringt, ist Hersteller dieses Produkts, und die Pflicht nach Art. 14 für dieses Produkt ist seine eigene.

Die Sanktionen stehen in Art. 64, der ab dem 11. Dezember 2027 gilt. Er sieht Geldbussen von bis zu EUR 15 Millionen oder, bei einem Unternehmen, von bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes im vorangegangenen Geschäftsjahr vor, je nachdem, welcher Betrag höher ist, für Verstösse gegen Anhang I und gegen die Art. 13 und 14; EUR 10 Millionen oder 2 Prozent für die in Art. 64 Abs. 3 aufgeführten Pflichten, einschliesslich jener der Einführer und Händler; und EUR 5 Millionen oder 1 Prozent für falsche, unvollständige oder irreführende Informationen, die notifizierten Stellen oder Marktüberwachungsbehörden auf ein Verlangen hin erteilt werden. Nach Art. 64 Abs. 10 in der durch die Berichtigung vom 2. Juli 2025 korrigierten Fassung werden Hersteller, die Kleinstunternehmen oder kleine Unternehmen sind, nicht mit Geldbussen belegt, wenn sie die 24-Stunden-Frist für die Frühwarnung versäumen. Die Geldbussen werden ab Dezember 2027 von den Behörden der Mitgliedstaaten nach nationalen Vorschriften verhängt; die Meldepflicht gilt jetzt.

Die Datenverordnung: Zugang durch Konzeption für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden

Das zweite Datum betrifft einen anderen Rechtsakt. Die Datenverordnung, Verordnung (EU) 2023/2854, gilt seit dem 12. September 2025, und die Rechte der Nutzer nach den Art. 4 und 5, auf die von vernetzten Produkten und verbundenen Diensten erzeugten Daten zuzugreifen und sie weiterzugeben, binden die Dateninhaber bereits. Art. 3 Abs. 1 ist die Konzeptionspflicht: Vernetzte Produkte müssen so konzipiert und hergestellt und verbundene Dienste so konzipiert und erbracht werden, dass Produktdaten und verbundene Dienstdaten, einschliesslich der relevanten Metadaten, die für ihre Auslegung und Nutzung erforderlich sind, standardmässig für den Nutzer einfach, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt zugänglich sind. Art. 50 wendet diese Pflicht auf vernetzte Produkte und die mit ihnen verbundenen Dienste an, die nach dem 12. September 2026 in Verkehr gebracht werden. Ein Produkt, das an oder vor diesem Datum in Verkehr gebracht wurde, fällt nicht unter Art. 3 Abs. 1, wohl aber unter die Zugangsrechte, die an seine Daten anknüpfen. Art. 7 Abs. 1 schränkt das gesamte Kapitel II ein, die Art. 3 bis 5 eingeschlossen: Seine Pflichten gelten nicht für Daten, die durch die Nutzung vernetzter Produkte, die von einem Kleinstunternehmen oder kleinen Unternehmen hergestellt oder konzipiert wurden, oder verbundener Dienste, die von einem solchen Unternehmen erbracht werden, generiert werden, sofern dieses Unternehmen kein Partnerunternehmen oder verbundenes Unternehmen hat, das nicht als Kleinstunternehmen oder kleines Unternehmen gilt, und nicht als Unterauftragnehmer mit der Herstellung oder Konzeption des Produkts oder der Erbringung des Dienstes beauftragt ist. Gleiches gilt für ein Unternehmen, das seit weniger als einem Jahr als mittleres Unternehmen gilt, und für vernetzte Produkte für ein Jahr, nachdem ein mittleres Unternehmen sie in Verkehr gebracht hat. Die Grösse bemisst sich nach dem Anhang der Empfehlung 2003/361/EG der Kommission anhand der Mitarbeiterzahl zusammen mit dem Umsatz oder der Bilanzsumme, wobei die Daten von Partnerunternehmen und verbundenen Unternehmen hinzugerechnet werden; die Gruppen- und Unterauftragslage ist daher zu prüfen, bevor die folgenden Punkte angewendet werden.

Art. 3 Abs. 1 ist eine Produktanforderung; sie reicht deshalb in die Konstruktionsunterlagen und die Lieferkette der Komponenten ebenso wie in die Nutzungsbedingungen. Die praktische Folge für Hersteller ausserhalb der Union ergibt sich aus Art. 1 Abs. 3, der die Verordnung auf Hersteller vernetzter Produkte, die in der Union in Verkehr gebracht werden, und auf Anbieter verbundener Dienste unabhängig von ihrem Niederlassungsort anwendet, sowie auf Dateninhaber, die Datenempfängern in der Union Daten bereitstellen. Art. 2 Nr. 22 definiert das Inverkehrbringen als die erstmalige Bereitstellung eines vernetzten Produkts auf dem Unionsmarkt; nach dieser Definition gilt der Test also Stück für Stück: Ein vernetztes Gerät, das im Oktober 2026 erstmals auf dem EU-Markt bereitgestellt wird, muss Art. 3 Abs. 1 erfüllen, sofern nicht Art. 7 Abs. 1 für dieses Gerät gilt, und ein Exemplar desselben Modells, das vor dem 13. September 2026 in Verkehr gebracht wurde, muss es nicht.

Was die beiden Daten für Verträge und Verfahren bedeuten

Vier Dokumente ändern sich. Das erste ist das Verfahren für die Reaktion auf Vorfälle: Es braucht eine Entscheidungsregel für «aktiv ausgenutzt» und «schwerwiegend», eine namentlich bestimmte Person, die auch am Wochenende innert 24 Stunden auf der Plattform melden kann, die EU-Login-Konten, die die Plattform verlangt, und Vorlagen für die drei Stufen. Das zweite ist der Auftrag des Bevollmächtigten für Hersteller ausserhalb der Union, der festhalten sollte, ob der Bevollmächtigte die Meldungen nach Art. 14 einreicht, auf welcher Informationsgrundlage und innert welcher internen Frist, und welchen Mitgliedstaat und damit welches CSIRT die Regelung nach Art. 14 Abs. 7 bestimmt. Das dritte ist der Liefer- und Vertriebsvertrag: Komponentenlieferanten sollten verpflichtet werden, dem Hersteller Schwachstellen innert einer Frist offenzulegen, die Raum für die 24-Stunden-Frühwarnung lässt, und Einführer und Händler sollten schon jetzt verpflichtet werden, weiterzugeben, was die Art. 19 und 20 ab dem 11. Dezember 2027 von ihnen verlangen werden. Das vierte ist die Produktspezifikation für alles, was nach dem 12. September 2026 auf dem EU-Markt in Verkehr gebracht wird; sie sollte festhalten, ob Art. 7 Abs. 1 anwendbar ist und, wenn nicht, wie Art. 3 Abs. 1 erfüllt wird und wie Daten, die Geschäftsgeheimnisse sind, nach Art. 4 Abs. 6 bis 8 behandelt werden: Sie werden erst offengelegt, wenn Vertraulichkeitsmassnahmen getroffen sind, und dürfen nur unter den Voraussetzungen von Art. 4 Abs. 7 und 8 zurückgehalten oder verweigert werden.

Nach unserer Einschätzung ist die Meldepflicht zuerst zu erledigen, weil sie bereits für die Produkte gilt, die ein Unternehmen vor Jahren verkauft hat, weil ihre Fristen in Stunden gezählt werden und weil nach Art. 16 Abs. 3 das, was ein Unternehmen meldet, an die Marktüberwachungsbehörden weitergeleitet wird, die ab Dezember 2027 den Rest der Verordnung durchsetzen werden.

Was das für Sie bedeutet

• Die Meldepflicht gilt bereits für das, was Sie verkauft haben. Art. 69 Abs. 3 erstreckt Art. 14 auf alle Produkte mit digitalen Elementen im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Erfassen Sie die Produkte mit digitalen Elementen auf dem EU-Markt, alte wie neue, und ordnen Sie jedem eine verantwortliche Person zu.
• Bauen Sie die 24-Stunden-Fähigkeit auf, bevor Sie sie brauchen. Richten Sie die EU-Login-Konten mit Multi-Faktor-Authentifizierung für die Personen ein, die melden werden, klären Sie, wer auf der Plattform der ENISA für den Hersteller handelt (die ENISA bittet Hersteller, sich erst zu registrieren, wenn eine Meldung fällig ist), schreiben Sie die Entscheidungsregel für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle anhand von Art. 14 Abs. 5, und üben Sie die drei Stufen mit den Leitlinien der Kommission vom 27. Juli 2026 zur Hand.
• Hersteller ausserhalb der EU: Klären Sie, welches CSIRT Art. 14 Abs. 7 bestimmt. Prüfen Sie zuerst, ob Art. 14 Abs. 7 Ihre Hauptniederlassung in der Union verortet, auch über seine Auffangregel zugunsten des Mitgliedstaats Ihrer Niederlassung mit den meisten Beschäftigten in der Union; ohne Hauptniederlassung dort richtet sich der Mitgliedstaat nach dem Bevollmächtigten, der für die meisten Produkte handelt, dann nach dem Einführer, dann nach dem Händler, dann nach den Nutzern. Nehmen Sie die Meldeaufgabe, den Informationsfluss und die interne Frist in den Auftrag des Bevollmächtigten auf.
• Binden Sie die Lieferkette an Ihre Fristen. Komponenten- und Softwarelieferanten sollten verpflichtet werden, Schwachstellen rasch genug für die Frühwarnung offenzulegen; Einführer und Händler sollten schon jetzt verpflichtet werden, weiterzugeben, was die Art. 19 und 20 ab dem 11. Dezember 2027 von ihnen verlangen werden. Beides gehört in den Vertrag, mit Rechtsfolgen für den Verletzungsfall.
• Halten Sie die beiden September-Daten auseinander. Art. 14 der CRA gilt für Produkte, die bereits auf dem Markt sind; Art. 3 Abs. 1 der Datenverordnung gilt für vernetzte Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden, sofern nicht die Grössenausnahmen in Art. 7 Abs. 1 greifen. Die Produktspezifikation sollte für jede Produktlinie zeigen, ob Art. 7 Abs. 1 anwendbar ist und, wenn nicht, ab wann in Verkehr gebrachte Exemplare Art. 3 Abs. 1 erfüllen.

Isak Legal berät Hersteller, Softwareunternehmen und deren Händler zur Cyberresilienz-Verordnung, zur Datenverordnung, zu NIS2 und zu den vertraglichen Regelungen, die diese Pflichten durch die Lieferkette tragen, für Unternehmen mit Sitz in der EU, der Schweiz, dem Vereinigten Königreich, den Vereinigten Staaten und der Ukraine. Mehr dazu auf unseren Seiten KI, Daten & Technologie und Europa, oder nehmen Sie Kontakt auf.

Dieses Client Update dient ausschliesslich der allgemeinen Information, gibt den Stand vom 15. September 2026 wieder und stellt weder eine Rechtsberatung dar noch begründet es ein Mandatsverhältnis. Die Anwendungsdaten sind Art. 71 und Art. 69 Abs. 3 der Verordnung (EU) 2024/2847 sowie Art. 50 der Verordnung (EU) 2023/2854 entnommen, die Grössenausnahmen deren Art. 7 Abs. 1; die Meldemechanik den Art. 14 bis 16 der Verordnung (EU) 2024/2847; die Geldbussen Art. 64. Die Leitlinien und die häufig gestellten Fragen der Kommission sowie die Mitteilungen der ENISA zur Plattform sind Leitlinien und operatives Material und stehen im Rang unter der Verordnung; die Art. 18 bis 20 und 64 der Verordnung (EU) 2024/2847 gelten ab dem 11. Dezember 2027. Prüfen Sie die aktuellen Texte und Daten anhand der oben verlinkten offiziellen Quellen, bevor Sie handeln. Für die Beratung in einer konkreten Angelegenheit nehmen Sie bitte Kontakt mit uns auf.