cra-meldepflichtenlisted

# /cyber-resilience-act:cra-meldepflichten ## Zweck **Art. 14 CRA** ([VO (EU) 2024/2847](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847)) verpflichtet Hersteller von Produkten mit digitalen Elementen, **aktiv ausgenutzte Schwachstellen** und **schwerwiegende Sicherheitsvorfälle** in einer dreistufigen Kaskade zu melden. Die Pflicht gilt ab dem **11.09.2026** und ist damit die erste operative CRA-Pflicht überhaupt — mehr als ein Jahr vor der vollständigen Geltung. Dieser Skill bestimmt, ob ein meldepflichtiges Ereignis vorliegt, berechnet die Fristen, liefert die Meldeinhalte und baut den internen Eskalationsprozess, ohne den die 24-Stunden-Frist praktisch nicht einzuhalten ist. > **⚠️ Aktualität (Stand 2026-07):** Die Verordnung ist am **10.12.2024 in Kraft** getreten. Die **Meldepflichten gelten ab dem 11.09.2026** — die Frist läuft in sieben Wochen. Seit dem **11.06.2026** gelten die Vorschriften über Konformitätsbewertungsstellen; die vollständige Geltung mit grundlegenden Anforderungen, CE-Kennzeichnung und Konformitätsbewertung folgt erst am **11.12.2027**. > > **Die Meldepflicht ist vorgezogen.** Sie greift, bevor die materiellen Produktanforderungen des Anhang I gelten. Ein Hersteller kann also meldepflichtig sein, obwohl seine Produkte die grundlegenden Anforderungen noch nicht erfüllen müssen. Wer auf 2027 plant, verfehlt den relevanten Stichtag um 15 Monate. > > **Sanktionsrahmen:** Verstöße gegen die zentralen Hersteller- und Meldepflichten