Art. 14 · 1
Veröffentlichte Meldestelle
Eine öffentlich erreichbare Adresse, an die Sicherheitsforscher Schwachstellen in Ihren Produkten melden können. Sie muss auffindbar, dokumentiert und den Behörden benannt sein.
Cyber Resilience Act · Pflicht ab 11.09.2026
Ab 11. September brauchen Sie eine Meldestelle für Schwachstellen.
Betroffen ist jedes Produkt mit Software oder Firmware, das Sie in der EU verkaufen — auch Geräte, die längst beim Kunden laufen.
- 24 Stunden — Frühwarnung
- 72 Stunden — Vollmeldung
- 14 Tage — Abschlussbericht
Kostenlos · Keine Anmeldung · Ergebnis als PDF · Betrieb in Deutschland
01Gesetzliche Pflicht
Drei Dinge müssen am 11. September stehen
Artikel 14 der Verordnung (EU) 2024/2847 gilt für jedes Produkt mit digitalen Elementen, das in der EU bereitgestellt wird — unabhängig von Klasse und Verkaufsdatum.
Art. 14 · 2
Dokumentierter Meldeprozess
Ein schriftlich festgelegter Weg vom Eingang einer Meldung über die Bewertung bis zur Entscheidung, wer an die Behörde meldet — mit benannten Verantwortlichen und festen Fristen.
Art. 14 · 3
24-Stunden-Frist
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle sind dem zuständigen CSIRT innerhalb von 24 Stunden nach Kenntnis zu melden. Es folgen Vollmeldung nach 72 Stunden und Abschlussbericht nach 14 Tagen.
Keine Rechtsberatung. Die verbindlichen Anforderungen ergeben sich aus der Verordnung (EU) 2024/2847 in ihrer jeweils geltenden Fassung.
02Check
Prüfen Sie in sieben Fragen, was für Sie gilt
Sieben Fragen, etwa drei Minuten. Das vollständige Ergebnis sehen Sie sofort, ohne Anmeldung.
03Services
Was Sie am Ende haben
Wir richten mit Ihnen ein, was am 11. September 2026 stehen muss. Kein Zertifikat, keine Software zum Kaufen — fertige Dokumente und einen Ablauf, der einer Prüfung standhält.
Meldestelle
Eine veröffentlichte Eingangsadresse für Schwachstellen, dokumentiert und den Behörden benannt. Erreichbar, überwacht, mit definierter Annahme.
Meldeprozess
Der schriftlich festgelegte Ablauf von der eingehenden Meldung bis zum Abschlussbericht: Bewertung, Verantwortlichkeiten, Fristen von 24 Stunden, 72 Stunden und 14 Tagen.
Produktbestand
Die maschinenlesbare Stückliste Ihrer Software-Bestandteile je Produkt, inklusive Altbestand. Damit eine eingegangene Meldung einem Produkt zugeordnet werden kann.
Prüffähige Dokumentation
Ablagen, Prozessbeschreibung und Nachweise so aufbereitet, dass sie einer Marktaufsichts-Prüfung standhalten.
Umfang und Dauer hängen vom Produktbestand ab. Nach dem Check sehen Sie, wo Sie stehen — auf dieser Grundlage machen wir ein festes Angebot.
04Exclusions
Was wir nicht sind
- Keine Rechtsberatung. Wir liefern technische Umsetzung und Dokumentation; die verbindliche Einordnung treffen Sie mit Ihrer Rechtsabteilung.
- Kein Zertifikat. Es gibt keine CRA-Zertifizierung zu kaufen — wer eines anbietet, verkauft etwas, das die Verordnung nicht vorsieht.
- Keine Software zum Selbstinstallieren als Ersatz für den Prozess. Werkzeuge helfen, die Pflicht erfüllt der dokumentierte Ablauf.
05Hersteller
Meldewerk ist ein Produkt der neXenio GmbH
neXenio entwickelt Sicherheitssoftware in Berlin — aus der Forschung des Hasso-Plattner-Instituts, heute im Einsatz bei Bundesbehörden und Industrie. Unsere Systeme sind in Deutschland gehostet und geprüft.
- Berlin
- EU-Hosting
- BSI-geprüfte Verfahren
- Industrie und Behörden
06Fragen
Häufige Fragen
Gilt der CRA auch für uns, wenn wir keine Software verkaufen, sondern Maschinen?
Ja, sobald die Maschine digitale Elemente enthält — Steuerung, Firmware, Netzwerkanbindung. Ab Januar 2027 wird Cybersicherheit zusätzlich Bestandteil der CE-Kennzeichnung nach Maschinenverordnung. Die EU-Konformitätserklärung muss dann beide Verordnungen referenzieren.
Wir verkaufen ein Produkt seit zwölf Jahren. Müssen wir die alte Entwicklungsdokumentation rekonstruieren?
Nein. Die EU-Kommission hat klargestellt, dass historische Entwicklungs- und Testunterlagen nicht vollständig rekonstruiert werden müssen. Es genügt eine aktuelle Risikobewertung, die dokumentiert, wie bestehende Maßnahmen die identifizierten Risiken mindern.
Was passiert, wenn wir am 11. September nichts vorweisen können?
Der Bußgeldrahmen reicht bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Praktisch relevanter ist, dass die Marktaufsicht die Bereitstellung eines Produkts untersagen kann.
Reicht unser ISO-27001-Zertifikat?
Es hilft bei den organisatorischen Anforderungen, deckt sie aber nicht ab. Der CRA stellt produktbezogene Anforderungen — pro Produkt eine Risikobewertung, eine Stückliste der Software-Bestandteile, eine technische Dokumentation. Das leistet ein Managementsystem-Zertifikat nicht.
Sind wir als reiner Cloud-Anbieter betroffen?
Reine Cloud-Dienste können außerhalb des Anwendungsbereichs liegen. Sobald jedoch Client-Software, eine App, ein Gerät oder eine produktgebundene Fernverarbeitung dazukommt, greift der CRA in der Regel. Der Check gibt dazu eine erste Einordnung.
Wo liegen unsere Daten?
Ausschließlich in Rechenzentren in Deutschland. Keine Übermittlung in Drittstaaten. Details in der Datenschutzerklärung.
Ausführliche Einordnungen zu Sonderfällen — Altgeräte, Open Source, Cloud, Maschinenbau — finden Sie in der Wissensdatenbank.