Artikel 14 erklärt: 24 Stunden, 72 Stunden, 14 Tage

Artikel 14 ist die erste CRA-Pflicht mit einem festen Datum – 11. September 2026 – und diejenige, auf die sich Maschinenbauer zuerst vorbereiten sollten. Es handelt sich um eine Meldepflicht, und sie ist enger gefasst als „vollständige Konformität", doch die Fristen sind kurz und beginnen in dem Moment, in dem Sie Kenntnis von einem Problem erlangen.

Was eine Meldung auslöst

Zwei Dinge verpflichten Sie zur Meldung: eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt oder ein schwerwiegender Vorfall, der die Sicherheit Ihres Produkts beeinträchtigt. „Aktiv ausgenutzt" ist die entscheidende Formulierung – eine Schwachstelle, die zwar vorhanden ist, aber nicht ausgenutzt wird, setzt die Uhr nach Artikel 14 für sich genommen nicht in Gang (die Behandlungspflichten ab Dezember 2027 bleiben davon unberührt).

Die Kaskade – und wo die Uhr zu laufen beginnt

Die Meldung erfolgt über die ENISA Single Reporting Platform, und der Zeitplan läuft ab dem Zeitpunkt, zu dem Sie Kenntnis erlangen:

• Frühwarnung – binnen 24 Stunden ab Kenntnis, wobei gegebenenfalls die Mitgliedstaaten anzugeben sind, in denen das Produkt verfügbar oder betroffen ist.
• Meldung – binnen 72 Stunden ab Kenntnis, mit allgemeinen Angaben zum Produkt, zur Art des Angriffs oder der Schwachstelle sowie zu allen ergriffenen und für die Nutzer verfügbaren Korrektur- oder Abhilfemaßnahmen.
• Abschlussbericht – bei einer Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist; bei einem Vorfall innerhalb eines Monats nach der 72-Stunden-Meldung.

Beachten Sie die Nuance, die die meisten Leitfäden übersehen: Die Frist für den Abschlussbericht beträgt nicht „14 Tage ab Kenntnis". Bei Schwachstellen ist sie an den Zeitpunkt gebunden, zu dem eine Korrektur oder Abhilfe verfügbar wird; bei Vorfällen beträgt sie einen Monat nach der 72-Stunden-Meldung. Dies in die eine oder andere Richtung falsch zu handhaben, ist ein Konformitätsrisiko.

Sie müssen auch die Nutzer informieren

Über die Meldung an die Behörden hinaus müssen Sie, sobald Sie Kenntnis erlangen, die betroffenen Nutzer über die Schwachstelle oder den Vorfall und, soweit erforderlich, über Risikominderungs- und Korrekturmaßnahmen informieren – nach Möglichkeit in einem strukturierten, maschinenlesbaren Format. Ein veröffentlichtes CSAF-Sicherheitshinweis kann diesem Zweck dienen.

Er gilt für Maschinen, die sich bereits im Feld befinden

Artikel 14 wirkt faktisch rückwirkend: Er erfasst Produkte, die bereits auf dem Markt sind. Für die meisten Maschinenbauer bedeutet das eine im Feld befindliche Flotte mit wenig oder keiner aktiven Überwachung – genau deshalb ist Readiness und nicht Papierkram die kurzfristige Priorität. Sie können nicht innerhalb einer 24-Stunden-Frist melden, wenn Sie noch nicht wissen, welche im Feld befindlichen Produkte die betroffene Komponente enthalten.

Wie „Readiness" in der Praxis aussieht

Für Artikel 14 bereit zu sein bedeutet drei Fähigkeiten: ein aktuelles Inventar darüber, welche Produkte und Versionen wo im Einsatz sind; die Korrelation Ihrer Komponenten mit Schwachstellenquellen (EUVD, NVD, dem CISA KEV-Katalog), sodass ein aktiv ausgenutztes Problem sofort sichtbar wird; und ein auf die Plattform abgebildeter Melde-Workflow, sodass die Kaskade aus 24 h / 72 h / Abschlussbericht eine Sache der Prüfung und Freigabe ist und kein Hindernislauf. KI kann entwerfen; ein Mensch prüft und unterzeichnet stets.

Genau diese Lücke schließt das Resilic Readiness Kit – und Sie können mit dem kostenlosen Scope Check beginnen, um zu sehen, wo Sie stehen.