Suchen
Sie sind aktuell nicht angemeldet:
Login
Registrierung
Die Cyberresilienz-Verordnung verlangt eine Meldung an die europäische Cybersicherheitsagentur und an das zuständige nationale Notfallteam, danach einen Bericht binnen 72 Stunden und später einen Abschlussbericht.
Aktiv ausgenutzte Schwachstellen: Ab dem 11. September 2026 gilt für Hersteller digitaler Produkte eine Frühwarnfrist von 24 Stunden
Bietigheim-Bissingen, 13.09.2026 (PresseBox) - Am 11. September 2026 beginnt die Anwendung einer Vorschrift, die den Umgang mit Sicherheitslücken in Europa neu taktet. Artikel 14 der Verordnung (EU) 2024/2847 verlangt ab dem 11. September 2026 eine Frühwarnung binnen 24 Stunden nach Kenntnis. Die eigentliche Schwachstellenmeldung folgt binnen 72 Stunden. Adressat ist der Hersteller im Sinn der Verordnung: wer ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke vermarktet.
Ausgelöst wird die Uhr nur durch eine aktiv ausgenutzte Schwachstelle: Es müssen verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigners ausgenutzt hat. Der Rest der Verordnung folgt erst am 11. Dezember 2027, die Vorschriften über notifizierte Stellen gelten seit dem 11. Juni 2026. Melden müssen Hersteller nach Artikel 69 Absatz 3 aber ab dem 11. September 2026 auch für Produkte, die schon vor dem 11. Dezember 2027 in den Verkehr gebracht wurden. Für den Hersteller verschiebt sich der Aufwand nach vorn, in die Prüfung des eigenen Codes ? wie sie etwa ein offener Prüfdienst mit Schema- und Syntaxabgleich leistet.
Welche Fristen der Artikel im Einzelnen setzt
Die Vorschrift kennt zwei Meldeanlässe und für jeden eine eigene Staffel. Laut Artikel 14 Absatz 1 meldet ein Hersteller eine ausgenutzte Sicherheitslücke gleichzeitig an das als Koordinator benannte Notfallteam und an die Agentur der Europäischen Union für Cybersicherheit (ENISA). Für schwerwiegende Sicherheitsvorfälle sieht Absatz 3 denselben Weg vor. Beide Meldungen laufen über die einheitliche Meldeplattform nach Artikel 16.
Frühwarnung: unverzüglich, in jedem Fall innerhalb von 24 Stunden nach Kenntnis
Meldung mit allgemeinen Angaben zu Produkt, Art der Ausnutzung und Gegenmaßnahmen sowie der Einschätzung, als wie sensibel der Hersteller diese Angaben ansieht: innerhalb von 72 Stunden, soweit die Angaben nicht schon vorliegen
Abschlussbericht bei einer Sicherheitslücke: spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht
Abschlussbericht bei einem Sicherheitsvorfall: innerhalb eines Monats nach der Meldung
Zwischenbericht: auf Anforderung des Notfallteams, das die Meldung erhalten hat
Die Frühwarnung nennt außerdem die Mitgliedstaaten, in deren Gebiet das Produkt nach Kenntnis des Herstellers bereitgestellt wurde.
Wann ein Sicherheitsvorfall als schwerwiegend gilt
Der Begriff ist im Normtext definiert und nicht dem Ermessen überlassen. Artikel 14 Absatz 5 gilt für Vorfälle mit Auswirkungen auf die Sicherheit des Produkts. Schwerwiegend ist ein solcher Vorfall, wenn er sich negativ auf die Fähigkeit des Produkts auswirkt oder auswirken kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen.
Die zweite Fallgruppe zielt auf fremden Code. Sie greift, wenn der Vorfall zur Einführung oder Ausführung von Schadcode im Produkt oder im Netz eines Nutzers geführt hat oder führen kann. Beide Fallgruppen stehen im Text mit einem ?oder? nebeneinander; eine von beiden genügt.
Warum die Zahl der Meldeanlässe kaum sinken dürfte
Die Menge der Sicherheitslücken wächst seit Jahren. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik wurden im Berichtszeitraum von Juli 2024 bis Juni 2025 im Schnitt 119 neue Sicherheitslücken pro Tag registriert, 24 Prozent mehr als im Jahr davor. Zum Vergleich nennt die Behörde für 2022 einen Wert von 68 und für 2023 einen von 78 pro Tag.
Nicht jede dieser Lücken wird ausgenutzt. Aktiv ausgenutzte Schwachstellen lösen die Frist aus, alle übrigen nicht. Die Größenordnung sagt trotzdem etwas über die Grundlast: Ein Hersteller, der ein Dutzend Bibliotheken einbindet, beobachtet einen Strom, der nicht abreißt.
Was vor der Meldung im Entwicklungsprozess passiert
Eine Meldefrist von 24 Stunden ist vor allem eine Frage der Vorbereitung. Wer im Ernstfall belegen will, welche Produktversionen betroffen sind, braucht eine gepflegte Übersicht der eingesetzten Komponenten, klare Zuständigkeiten und einen Weg, Änderungen am Code nachzuvollziehen.
Maschinell erzeugter Code verschärft diese Anforderung, weil er schnell entsteht und selten vollständig gelesen wird. Welche Prüfschritte sich dafür einrichten lassen, behandelt eine Themenseite zu Prüfschritten für maschinell erzeugten Programmcode.
?Eine Frist von 24 Stunden entscheidet sich nicht am Tag des Vorfalls, sondern Monate vorher. Wer seine Abhängigkeiten kennt, meldet; wer sie erst suchen muss, verhandelt mit der Uhr?, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.
Woran sich der nächste Schritt ablesen lässt
Der nächste feste Termin ist der 11. Dezember 2027, ab dem die übrigen Vorschriften der Verordnung anwendbar sind. Bis dahin zeigt sich an der Meldeplattform, ob die gemeinsame Einreichung an Notfallteam und Agentur in der Praxis trägt.
Für Entwicklungsteams folgt daraus eine überschaubare Aufgabe für den Herbst 2026: eine belastbare Liste der eigenen Komponenten, ein benannter Ansprechpartner und ein geprobter Ablauf für den ersten Tag. Bei der Sanktion unterscheidet die Verordnung: Nach Artikel 64 Absatz 10 gelten die Geldbußen nicht für Hersteller, die Kleinst- oder Kleinunternehmen sind, soweit es um die 24-Stunden-Frist geht, und für Verwalter quelloffener Software überhaupt nicht. Die Pflicht zur Frühwarnung entfällt dadurch nicht.
Die vorstehenden Ausführungen geben eine allgemeine Einordnung zum Stand September 2026 und sind keine Rechtsberatung. Ob und wie die genannten Pflichten im Einzelfall greifen, klärt eine rechtliche Beratung.
Ausgelöst wird die Uhr nur durch eine aktiv ausgenutzte Schwachstelle: Es müssen verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigners ausgenutzt hat. Der Rest der Verordnung folgt erst am 11. Dezember 2027, die Vorschriften über notifizierte Stellen gelten seit dem 11. Juni 2026. Melden müssen Hersteller nach Artikel 69 Absatz 3 aber ab dem 11. September 2026 auch für Produkte, die schon vor dem 11. Dezember 2027 in den Verkehr gebracht wurden. Für den Hersteller verschiebt sich der Aufwand nach vorn, in die Prüfung des eigenen Codes ? wie sie etwa ein offener Prüfdienst mit Schema- und Syntaxabgleich leistet.
Welche Fristen der Artikel im Einzelnen setzt
Die Vorschrift kennt zwei Meldeanlässe und für jeden eine eigene Staffel. Laut Artikel 14 Absatz 1 meldet ein Hersteller eine ausgenutzte Sicherheitslücke gleichzeitig an das als Koordinator benannte Notfallteam und an die Agentur der Europäischen Union für Cybersicherheit (ENISA). Für schwerwiegende Sicherheitsvorfälle sieht Absatz 3 denselben Weg vor. Beide Meldungen laufen über die einheitliche Meldeplattform nach Artikel 16.
Frühwarnung: unverzüglich, in jedem Fall innerhalb von 24 Stunden nach Kenntnis
Meldung mit allgemeinen Angaben zu Produkt, Art der Ausnutzung und Gegenmaßnahmen sowie der Einschätzung, als wie sensibel der Hersteller diese Angaben ansieht: innerhalb von 72 Stunden, soweit die Angaben nicht schon vorliegen
Abschlussbericht bei einer Sicherheitslücke: spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht
Abschlussbericht bei einem Sicherheitsvorfall: innerhalb eines Monats nach der Meldung
Zwischenbericht: auf Anforderung des Notfallteams, das die Meldung erhalten hat
Die Frühwarnung nennt außerdem die Mitgliedstaaten, in deren Gebiet das Produkt nach Kenntnis des Herstellers bereitgestellt wurde.
Wann ein Sicherheitsvorfall als schwerwiegend gilt
Der Begriff ist im Normtext definiert und nicht dem Ermessen überlassen. Artikel 14 Absatz 5 gilt für Vorfälle mit Auswirkungen auf die Sicherheit des Produkts. Schwerwiegend ist ein solcher Vorfall, wenn er sich negativ auf die Fähigkeit des Produkts auswirkt oder auswirken kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen.
Die zweite Fallgruppe zielt auf fremden Code. Sie greift, wenn der Vorfall zur Einführung oder Ausführung von Schadcode im Produkt oder im Netz eines Nutzers geführt hat oder führen kann. Beide Fallgruppen stehen im Text mit einem ?oder? nebeneinander; eine von beiden genügt.
Warum die Zahl der Meldeanlässe kaum sinken dürfte
Die Menge der Sicherheitslücken wächst seit Jahren. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik wurden im Berichtszeitraum von Juli 2024 bis Juni 2025 im Schnitt 119 neue Sicherheitslücken pro Tag registriert, 24 Prozent mehr als im Jahr davor. Zum Vergleich nennt die Behörde für 2022 einen Wert von 68 und für 2023 einen von 78 pro Tag.
Nicht jede dieser Lücken wird ausgenutzt. Aktiv ausgenutzte Schwachstellen lösen die Frist aus, alle übrigen nicht. Die Größenordnung sagt trotzdem etwas über die Grundlast: Ein Hersteller, der ein Dutzend Bibliotheken einbindet, beobachtet einen Strom, der nicht abreißt.
Was vor der Meldung im Entwicklungsprozess passiert
Eine Meldefrist von 24 Stunden ist vor allem eine Frage der Vorbereitung. Wer im Ernstfall belegen will, welche Produktversionen betroffen sind, braucht eine gepflegte Übersicht der eingesetzten Komponenten, klare Zuständigkeiten und einen Weg, Änderungen am Code nachzuvollziehen.
Maschinell erzeugter Code verschärft diese Anforderung, weil er schnell entsteht und selten vollständig gelesen wird. Welche Prüfschritte sich dafür einrichten lassen, behandelt eine Themenseite zu Prüfschritten für maschinell erzeugten Programmcode.
?Eine Frist von 24 Stunden entscheidet sich nicht am Tag des Vorfalls, sondern Monate vorher. Wer seine Abhängigkeiten kennt, meldet; wer sie erst suchen muss, verhandelt mit der Uhr?, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.
Woran sich der nächste Schritt ablesen lässt
Der nächste feste Termin ist der 11. Dezember 2027, ab dem die übrigen Vorschriften der Verordnung anwendbar sind. Bis dahin zeigt sich an der Meldeplattform, ob die gemeinsame Einreichung an Notfallteam und Agentur in der Praxis trägt.
Für Entwicklungsteams folgt daraus eine überschaubare Aufgabe für den Herbst 2026: eine belastbare Liste der eigenen Komponenten, ein benannter Ansprechpartner und ein geprobter Ablauf für den ersten Tag. Bei der Sanktion unterscheidet die Verordnung: Nach Artikel 64 Absatz 10 gelten die Geldbußen nicht für Hersteller, die Kleinst- oder Kleinunternehmen sind, soweit es um die 24-Stunden-Frist geht, und für Verwalter quelloffener Software überhaupt nicht. Die Pflicht zur Frühwarnung entfällt dadurch nicht.
Die vorstehenden Ausführungen geben eine allgemeine Einordnung zum Stand September 2026 und sind keine Rechtsberatung. Ob und wie die genannten Pflichten im Einzelfall greifen, klärt eine rechtliche Beratung.
Über "Provimedia GmbH":
Die Provimedia GmbH ist ein Online-Verlag mit Sitz in der Region Stuttgart. Wir schaffen wertvolle Informationen in unterschiedlichen Branchen um Wissen schnell und einfach zugänglich zu machen. Wir haben uns auf übersichtliche Webseiten und Auffindbarkeit von Informationen spezialisiert.