Was Hersteller melden müssen
Ihre Pflichten, wenn in einem Ihrer Produkte eine Lücke gefunden wird
Was gemeldet werden muss, ab wann die Uhr läuft und wohin die Meldung geht. Grundlage ist die Cyberresilienzverordnung (EU) 2024/2847; jede Aussage hier nennt ihre Fundstelle.
A
Meldepflichtig ist nur die dritte Stufe
Nicht jede bekannte Schwachstelle löst eine Meldung aus. Die Verordnung kennt drei Begriffe, und nur der dritte zählt.
| Artikel 3 | Begriff | Wortlaut, sinngemäss | meldepflichtig |
|---|---|---|---|
| Nr. 40 | Schwachstelle | Eine Schwäche, Anfälligkeit oder Fehlfunktion, die bei einer Cyberbedrohung ausgenutzt werden kann. | nein |
| Nr. 41 | ausnutzbare Schwachstelle | Eine Schwachstelle, die von einem unbefugten Dritten unter praktischen Betriebsbedingungen wirksam genutzt werden kann. | nein |
| Nr. 42 | aktiv ausgenutzte Schwachstelle | Eine Schwachstelle, zu der verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat. | ja |
Bildlich: Stufe 40 ist ein Schloss, das sich knacken lässt. Stufe 41 ist ein Schloss, für das jemand ein passendes Werkzeug gebaut hat. Stufe 42 ist ein Schloss, das nachweislich schon geknackt wurde. Erst dann läuft die Uhr.
Ebenfalls meldepflichtig ist ein schwerwiegender Sicherheitsvorfall. Nach Artikel 14(5) genügt dafür eines von zwei Merkmalen: Er beeinträchtigt die Fähigkeit des Produkts, wichtige Daten oder Funktionen zu schützen, oder er hat zur Einführung von Schadcode geführt. Beides zählt auch, wenn es erst dazu kommen kann.
B
Die vier Stufen und woran sie hängen
Die Uhr läuft ab Kenntniserlangung, nicht ab dem Zeitpunkt, an dem die Bearbeitung beginnt. Eine Mail vom Freitagabend, gelesen am Montag, hat von den 24 Stunden schon über 60 verbraucht.
Frühwarnung
Art. 14(2)(a)
Unverzüglich, in jedem Fall binnen 24 Stunden nach Kenntniserlangung. Anzugeben sind unter anderem die Mitgliedstaaten, in deren Hoheitsgebiet das Produkt nach Kenntnis des Herstellers bereitgestellt wurde.
Meldung
Art. 14(2)(b)
Allgemeine Angaben zum Produkt, zur Art der Ausnutzung und zur betreffenden Schwachstelle, dazu ergriffene und für Nutzer verfügbare Massnahmen.
Abschlussbericht
Art. 14(2)(c)
Spätestens 14 Tage nachdem eine Korrektur- oder Risikominderungsmassnahme verfügbar ist.
Abschlussbericht
Art. 14(4)(c)
Bei einem schwerwiegenden Sicherheitsvorfall: innerhalb eines Monats nach der Meldung.
C
Wohin gemeldet wird, und was danach kommt
Art. 14(1), 14(7)
An CSIRT und ENISA
Gemeldet wird gleichzeitig an das koordinierende CSIRT und die ENISA, über die Single Reporting Platform. Zuständig ist das CSIRT des Mitgliedstaats der Hauptniederlassung. Fehlt eine solche in der Union, gilt eine feste Reihenfolge: Bevollmächtigter, Einführer, Händler, sonst der Mitgliedstaat mit den meisten Nutzern.
Art. 14(8)
Die Nutzer unterrichten
Die Meldung an die Behörde ist die halbe Pflicht. Der Hersteller muss die betroffenen Nutzer unterrichten und, wo angebracht, über Massnahmen informieren, die sie selbst ergreifen können. Bei 340 Maschinen in neun Ländern ist das die eigentliche Arbeit.
Art. 13(8)
Der Unterstützungszeitraum
In der Regel mindestens fünf Jahre, ausgerichtet an der erwarteten Nutzungsdauer, wenn diese länger ist. Er läuft ab dem Inverkehrbringen des jeweiligen Produkts, also der einzelnen Maschine. Wer eine Baureihe zehn Jahre lang verkauft, ist entsprechend länger in der Pflicht.
D
Bestandsmaschinen: die Ausnahme, die alles ändert
Der Punkt, den die meisten übersehen, und der grösste Teil der Arbeit.
Artikel 69 Absatz 2
Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den in dieser Verordnung festgelegten Anforderungen nur dann, wenn nach diesem Zeitpunkt diese Produkte einer wesentlichen Änderung unterliegen.
Artikel 69 Absatz 3
Abweichend von Absatz 2 des vorliegenden Artikels gelten die in Artikel 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich dieser Verordnung fallen und vor dem 11. Dezember 2027 in den Verkehr gebracht wurden.
Im Klartext: Die Produktanforderungen greifen bei Altmaschinen erst nach einer wesentlichen Änderung. Die Meldepflicht gilt für alles, was Sie ausgeliefert haben. Bei einem Betrieb, der seit 20 Jahren baut, geht es um mehrere tausend Maschinen, und die stehen in keinem auswertbaren Verzeichnis.
E
Häufige Fragen
Sieben Fragen, vollständig beantwortet. Massgeblich bleibt der Wortlaut im Amtsblatt.
Gilt die Meldepflicht auch für Maschinen, die schon im Feld sind?
Ja. Die Produktanforderungen greifen bei Produkten, die vor dem Geltungsbeginn in Verkehr gebracht wurden, erst nach einer wesentlichen Änderung. Die Meldepflichten des Artikels 14 nimmt Artikel 69(3) davon aber ausdrücklich aus: Sie gelten für alle Produkte im Anwendungsbereich, auch für Bestandsmaschinen. Das verschiebt die Zählung erheblich: Betroffen ist der gesamte Bestand im Feld, nicht nur der aktuelle Katalog.
Wann beginnt die 24-Stunden-Frist genau?
Mit der Kenntniserlangung, nicht mit dem Zeitpunkt, an dem sich jemand darum kümmert, und nicht mit der Veröffentlichung in einer Datenbank. Kenntnis erlangt ein Hersteller, wenn eine Person im Betrieb von der aktiv ausgenutzten Schwachstelle oder dem schwerwiegenden Sicherheitsvorfall erfährt. Ein Treffer in einer Schwachstellendatenbank um drei Uhr nachts setzt die Frist deshalb nicht in Gang; die Bewertung durch einen Menschen tut es.
Muss jede Schwachstelle gemeldet werden?
Nein, und das ist der am häufigsten missverstandene Punkt. Die Verordnung unterscheidet in Artikel 3 drei Stufen: Schwachstelle (Nr. 40), ausnutzbare Schwachstelle (Nr. 41) und aktiv ausgenutzte Schwachstelle (Nr. 42). Meldepflichtig nach Artikel 14(1) ist nur die dritte, also die, zu der verlässliche Nachweise einer tatsächlichen Ausnutzung vorliegen. Dazu kommen schwerwiegende Sicherheitsvorfälle nach Artikel 14(3).
Ab wann gelten die Meldepflichten?
Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Die übrigen Anforderungen der Verordnung, einschliesslich der Konformitätsbewertung, gelten ab dem 11. Dezember 2027.
Gilt der Cyberresilienzgesetz-Rechtsakt auch für Schweizer Hersteller?
Er ist kein Schweizer Recht, aber Bedingung für den Marktzugang. Wer ein Produkt mit digitalen Elementen in der EU in Verkehr bringt, unterliegt den Pflichten unabhängig vom Sitz. Zusätzlich verlangt Artikel 18 einen in der Union niedergelassenen Bevollmächtigten, wenn der Hersteller ausserhalb der Union sitzt.
Kann die Meldung automatisch an die Behörde geschickt werden?
Nein. Die ENISA Single Reporting Platform hat keine Schnittstelle, über die Fremdsysteme melden könnten; die Abgabe erfolgt durch einen Menschen mit EU-Login. Wer etwas anderes verspricht, verspricht etwas, das er nicht halten kann. Vorbereiten lässt sich dagegen alles: die Fristen, die Betroffenheit je Maschine und das vollständig ausgefüllte Meldeblatt in der Reihenfolge der Maske.
Wie lange muss ein Produkt nach dem Verkauf unterstützt werden?
Artikel 13(8) rechnet den Unterstützungszeitraum ab dem Inverkehrbringen der einzelnen Maschine und nennt fünf Jahre als Regelfall; bei einer voraussichtlich kürzeren Nutzungsdauer ist diese massgeblich. Entscheidend für die Praxis ist der Bezugspunkt: Wer eine Baureihe zehn Jahre lang verkauft, ist für die zuletzt ausgelieferte Maschine entsprechend länger in der Pflicht als für die erste.
F
Weiter
Wie Seriax das beantwortet
Betroffenheit je Seriennummer, mit Kunde, Land und Softwarestand.
Für Schweizer Hersteller
Kein Schweizer Recht, aber Bedingung für den Marktzugang.
Sicherheit und Betrieb
Was eine Lieferantenprüfung von uns wissen will.
Diese Seite gibt den Stand vom August 2026 wieder und ersetzt keine Rechtsberatung. Massgeblich ist der Wortlaut der Verordnung (EU) 2024/2847 im Amtsblatt.