# Was verlangt der CRA, wenn eine Schwachstelle ausgenutzt wird?

Artikel 14 des Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen, aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Vorfälle, die die Sicherheit dieser Produkte beeinträchtigen, in mehreren Stufen zu melden. Stufen, Fristen und Empfänger der Meldungen regelt die Verordnung (EU) 2024/2847, Artikel 14. Diese Meldepflichten gelten ab dem 11. September 2026. Sie betreffen Hersteller, nicht Unternehmen, die die Produkte nur nutzen; ein eigener Vorfall eines Nutzers kann aber nach NIS2 oder DSGVO meldepflichtig sein.

Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.

FAQ: [Meldefristen für Vorfälle](https://netsenx.com/de/faq/reporting) · https://netsenx.com/de/faq/what-does-the-cra-require-when-a-vulnerability-is-exploited

## Weiterlesen

- https://netsenx.com/de/nis2-incident-reporting-deadlines
- https://netsenx.com/de/nis2-network-monitoring

## Verwandte Fragen

- [Gilt DORA für uns?](https://netsenx.com/de/faq/does-dora-apply-to-us)
- [Was gilt nach NIS2 als erheblicher Sicherheitsvorfall?](https://netsenx.com/de/faq/what-counts-as-a-significant-incident-under-nis2)
- [Ist ein gescheiterter oder abgewehrter Angriff nach NIS2 meldepflichtig?](https://netsenx.com/de/faq/is-a-blocked-attack-reportable-under-nis2)
- [Wie schafft ein kleines Team die 24-Stunden-Frist für die NIS2-Frühwarnung?](https://netsenx.com/de/faq/how-can-a-small-team-meet-the-nis2-24-hour-deadline)
- [Was sollten wir bereithaben, bevor die 24-Stunden-Frist nach NIS2 abläuft?](https://netsenx.com/de/faq/what-should-we-have-ready-before-the-nis2-24-hour-deadline)