Leitfaden · EU

CRA-Meldefristen: 24 Stunden, 72 Stunden und Abschlussbericht

Die Meldefristen des Cyber Resilience Act verständlich erklärt: Auslöser, 24-Stunden-Frist, 72-Stunden-Frist und Abschlussbericht.

Bei CRA-Meldungen ist nicht nur die Frist wichtig, sondern vor allem der Zeitpunkt, an dem die Kenntnis des Ereignisses beginnt. Teams sollten deshalb vorab definieren, wie Awareness festgestellt, dokumentiert und eskaliert wird.

Inhalt zuletzt geprüft: 2026-08-31

Das Wichtigste

01
Den Zeitpunkt der Kenntnis nachvollziehbar protokollieren.
02
Für die erste Warnung einen Prozess bereitstellen, der auch nachts und am Wochenende funktioniert.
03
Die 72-Stunden-Meldung mit technischen und organisatorischen Informationen vorbereiten.
04
Den Abschlussbericht an den tatsächlichen gesetzlichen Trigger koppeln, nicht an eine pauschale Kalenderfrist.

Praktischer nächster Schritt

Dokumentieren Sie, wer den Zeitpunkt der Kenntniserlangung feststellt, und spielen Sie mit einem fiktiven Zeitpunkt die 24- und 72-Stunden-Fristen bis zur Freigabe durch.

Häufiger Fehler

Den Abschlussbericht einfach vom Zeitpunkt der Kenntniserlangung weiterzurechnen. Bei einer aktiv ausgenutzten Schwachstelle läuft die Abschlussfrist spätestens 14 Tage ab Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme; bei einem schweren Sicherheitsvorfall läuft sie einen Monat ab der 72-Stunden-Vorfallsmeldung.

Grenzen und Prüfung

Die konkrete Berichtspflicht hängt vom Ereignistyp und den gesetzlichen Voraussetzungen ab. Fristen dürfen nicht isoliert von den Meldekriterien gelesen werden.

Regulatorische Aussagen beruhen auf Primärquellen oder offiziellen Referenzen. Prüfen Sie vor einer Entscheidung immer die aktuell verlinkte Fassung und die für Ihren Fall geltende Rechtslage.

Quellen und Referenzen

Passende Leitfäden

Werkzeug öffnen Alle Leitfäden Englische Version öffnen