# Cyber Resilience Act: Was Unternehmen jetzt organisatorisch vorbereiten sollten > Swiss GRC erklärt, welche internen Abläufe Hersteller für die 24-Stunden-Meldepflicht des Cyber Resilience Act vorbereiten sollten. Der Beitrag nennt Fristen, nötige Rollen und das Vorgehen für Schweizer Hersteller mit EU-Marktbezug. - URL: https://swissgrc.com/24-stunden-frist-cyber-resilience-act-operativ-vorbereiten/ - Herausgeber: SwissGRC® - Veröffentlicht: 2026-09-10 - Zuletzt aktualisiert: 2026-09-14 ## Kernaussagen - Die Meldepflicht nach Artikel 14 des Cyber Resilience Act gilt seit dem 11. September 2026 und verlangt eine erste Meldung innerhalb von 24 Stunden ab Kenntnisnahme. - Auf die early warning folgen eine vollständige Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmassnahme. - Die allgemeinen Herstellerpflichten aus Artikel 13 gelten erst ab dem 11. Dezember 2027, die Meldepflicht trat 15 Monate früher in Kraft. - Die ENISA Single Reporting Platform bietet beim Start keine Programmierschnittstelle, jede verpflichtende Meldung erfolgt über das Webportal. - Unternehmen müssen das für ihre Hauptniederlassung zuständige CSIRT kennen und eine Rollenteilung zwischen Sicherheitsteam, Rechtsabteilung und Geschäftsleitung vorab festlegen. - Schweizer Unternehmen, die Produkte mit digitalen Elementen in der EU oder im EWR vertreiben, fallen unabhängig vom Sitz unter den Cyber Resilience Act. Die Meldepflicht des Cyber Resilience Act nach Artikel 14 gilt seit dem 11. September 2026 und verlangt eine erste Meldung innerhalb von 24 Stunden ab Kenntnisnahme einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls. Wer diese Frist einhalten will, braucht die dafür nötige interne Struktur, lange bevor der erste Vorfall eintritt. Massgeblich ist dabei nicht der Status der externen Meldeplattform, sondern die interne Kette von Erkennung bis Entscheidung, wer meldet. Kurz zusammengefasst Die Meldepflicht des Cyber Resilience Act gilt seit dem 11. September 2026 und verlangt eine erste Meldung innerhalb von 24 Stunden ab Kenntnisnahme. Damit diese Frist einhaltbar ist, müssen Unternehmen unabhängig vom Status der ENISA-Meldeplattform das zuständige CSIRT kennen und eine interne Eskalationskette von Erkennung bis Meldeentscheid vorab festgelegt haben. 24Std. Frist für die early warning notification ab Kenntnisnahme Cyber Resilience Act, Artikel 14 72Std. Frist für die vollständige Meldung Europäische Kommission, CRA Reporting, 31. Juli 2026 14Tage Frist für den Abschlussbericht nach Verfügbarkeit einer Korrekturmassnahme Element, CRA Article 14 Reporting Obligations Guide, 1. Juli 2026 ## Was die Meldepflicht ab dem 11. September 2026 konkret verlangt Hersteller müssen eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall in drei Schritten melden: eine early warning innerhalb von 24 Stunden, eine vollständige Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmassnahme. Artikel 14 des Cyber Resilience Act verlangt die erste Meldung ohne unangemessene Verzögerung und in jedem Fall innerhalb von 24 Stunden ab Kenntnisnahme. Der Abschlussbericht muss die Schwachstelle beschreiben, allfällige beteiligte böswillige Akteure benennen sowie die Behebung und mögliche Abhilfemassnahmen darstellen. Bei schwerwiegenden Vorfällen ohne Schwachstellenbezug gilt für den Abschlussbericht eine Frist von einem Monat statt 14 Tagen. ## Warum die Frist früher greift als die Fähigkeit, sie zu erfüllen Die allgemeinen Herstellerpflichten aus Artikel 13, darunter technische Dokumentation und Konformitätsbewertung, gelten formal erst ab dem 11. Dezember 2027, während die Meldepflicht aus Artikel 14 bereits 15 Monate früher in Kraft trat. Diese Verschiebung bedeutet, dass der Prozess zur Erkennung aktiver Ausnutzung, der eigentlich Teil der Artikel-13-Pflichten ist, schon jetzt funktionieren muss, obwohl er regulatorisch erst später verlangt wird. Wer sich auf den späteren Stichtag verlässt, riskiert eine Meldelücke, die nicht mit fehlender Rechtspflicht, sondern mit fehlender Erkennungsfähigkeit begründet ist. Der Nachholbedarf bei den Meldepflichten und der Software-Stückliste betrifft genau diese Lücke zwischen Melde- und Dokumentationspflicht. ## War die Single Reporting Platform rechtzeitig einsatzbereit? Zehn Tage vor dem Stichtag, am 1. September 2026, war die von ENISA aufgebaute Single Reporting Platform noch ohne veröffentlichte URL im öffentlichen Internet, obwohl sie am 11. September 2026 zusammen mit der Meldepflicht starten sollte. Laut ENISA bietet die Plattform beim Start zudem keine Programmierschnittstelle, sodass jede verpflichtende Meldung über das Webportal erfolgen muss. Ausserdem stand die Liste der als Koordinatoren benannten nationalen CSIRT lange nicht fest, was mit dem Registrierungsprozess kollidierte, der die Auswahl eines zuständigen CSIRT aus dieser Liste verlangt. Über eine Zurückhaltung von Meldeinhalten bei der Weiterleitung an ENISA entscheidet nach der am 11. Dezember 2025 erlassenen Durchführungsverordnung (EU) 2026/881 das empfangende CSIRT. ## Welche internen Zuständigkeiten schon vor der ersten Meldung stehen müssen Unabhängig vom Status der externen Plattform müssen Unternehmen das für ihre Hauptniederlassung zuständige CSIRT bereits kennen und einen internen Triageprozess besitzen, der die Inhalte für early warning, Meldung und Abschlussbericht im vorgegebenen Rhythmus zusammenstellt. Die Entscheidung, ob eine Meldung ausgelöst wird, liegt selten bei einer einzigen Person, sondern verlangt eine vorab definierte Rollenteilung zwischen Sicherheitsteam, Rechtsabteilung und Geschäftsleitung. Diese Eskalationskette bei einer 24-Stunden-Meldung muss stehen, bevor ein Vorfall die Frist auslöst, sonst wird die Zeit durch interne Abstimmung aufgebraucht. - Erkennung: Wer stellt eine aktive Ausnutzung technisch fest - Entscheidung: Wer beurteilt innert Stunden, ob eine Meldepflicht ausgelöst ist - Inhalt: Wer liefert die Angaben für die 24h-, 72h- und 14-Tage-Stufe - Übermittlung: Wer bedient das Webportal der Meldeplattform ohne automatisierte Schnittstelle ## Was heisst das für Schweizer Hersteller mit EU-Marktbezug? Schweizer Unternehmen, die Produkte mit digitalen Elementen in der EU oder im EWR vertreiben, fallen unter den Cyber Resilience Act unabhängig vom Sitz, während die Schweiz selbst kein vergleichbares horizontales Cybersicherheitsgesetz kennt. Das bedeutet, dass der interne Prozess zur Fristwahrung nicht auf eine spätere schweizerische Regelung warten kann, sondern sich an der EU-Vorgabe orientieren muss, sobald ein Produkt in diesen Markt geht. Die weiteren Anforderungen des Cyber Resilience Act betreffen dabei nicht nur die Meldefrist, sondern auch Konformitätsbewertung und CE-Kennzeichnung. Ein erster, überprüfbarer Schritt ist, für jedes betroffene Produkt das zuständige CSIRT anhand der EU-Hauptniederlassung zu bestimmen und die interne Meldekette einmal testweise durchzuspielen, bevor ein realer Vorfall die Frist auslöst. Passend dazu ### Meldewege für Schwachstellen strukturiert dokumentieren Die Lösung für Informationssicherheit bildet Vorfälle und Schwachstellen mit ihren Fristen ab. Sie hält fest, wer wann entschieden und gemeldet hat. [Informationssicherheit](https://swissgrc.com/informationssicherheit-isms-software/) Für die Praxis ## Das Wichtigste in Kürze - Die 24-Stunden-Frist läuft ab Kenntnisnahme, nicht ab Bestätigung, deshalb muss die interne Eskalationskette vorab feststehen. - Die Meldepflicht gilt seit dem 11. September 2026, während die zugehörigen Dokumentationspflichten aus Artikel 13 erst ab dem 11. Dezember 2027 greifen. - Die Single Reporting Platform war kurz vor Inkrafttreten der Pflicht noch nicht öffentlich erreichbar und bietet beim Start keine Schnittstelle für automatisierte Meldungen. - Unternehmen sollten das zuständige CSIRT anhand ihrer EU-Hauptniederlassung schon jetzt bestimmen, unabhängig vom technischen Status der Meldeplattform. - Schweizer Hersteller mit Vertrieb in der EU oder im EWR unterliegen dem Cyber Resilience Act unabhängig vom Firmensitz. FAQ ## Häufige Fragen Ab wann gilt die Meldepflicht nach Artikel 14 des Cyber Resilience Act? Die Meldepflicht nach Artikel 14 gilt seit dem 11. September 2026. Sie verlangt eine erste Meldung innerhalb von 24 Stunden ab Kenntnisnahme einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls, unabhängig vom später greifenden Stichtag für die allgemeinen Herstellerpflichten aus Artikel 13. Welche Fristen folgen nach der ersten 24-Stunden-Meldung? Nach der early warning innerhalb von 24 Stunden verlangt der Cyber Resilience Act eine vollständige Meldung innerhalb von 72 Stunden sowie einen Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmassnahme. Bei schwerwiegenden Vorfällen ohne Schwachstellenbezug gilt für den Abschlussbericht stattdessen eine Frist von einem Monat. War die Meldeplattform von ENISA zum Start der Pflicht einsatzbereit? Zehn Tage vor dem Stichtag hatte die Single Reporting Platform noch keine veröffentlichte URL. Beim Start bot sie zudem keine Programmierschnittstelle, sodass Meldungen über das Webportal erfolgen müssen. Auch die Liste der als Koordinatoren benannten nationalen CSIRT stand lange nicht fest. Betrifft der Cyber Resilience Act auch Hersteller mit Sitz in der Schweiz? Ja. Schweizer Unternehmen, die Produkte mit digitalen Elementen in der EU oder im EWR vertreiben, fallen unter den Cyber Resilience Act unabhängig vom Firmensitz. Die Schweiz selbst kennt bislang kein vergleichbares horizontales Cybersicherheitsgesetz, das den internen Prozess ersetzen könnte. Wer entscheidet, ob Meldeinhalte bei der Weiterleitung an ENISA zurückgehalten werden? Nach der am 11. Dezember 2025 erlassenen Durchführungsverordnung (EU) 2026/881 entscheidet das empfangende CSIRT darüber, ob Meldeinhalte bei der Weiterleitung an ENISA zurückgehalten werden, etwa aus Gründen der öffentlichen Sicherheit oder laufender Ermittlungen. Quellen 1. [CRA Reporting](https://digital-strategy.ec.europa.eu/en/policies/cra-reporting)Europäische Kommission 2. [EU Cyber Resilience Act Reporting Deadline](https://www.techtimes.com/articles/326249/20260901/eu-cyber-resilience-act-reporting-deadline-filing-portal-launches-same-day-it-becomes-mandatory.htm)Techtimes ## Häufige Fragen ### Ab wann gilt die Meldepflicht im Cyber Resilience Act? Die Meldepflicht nach Artikel 14 gilt seit dem 11. September 2026. Sie verlangt eine erste Meldung innerhalb von 24 Stunden ab Kenntnisnahme einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls. ### Welche Fristen gelten nach der ersten 24-Stunden-Meldung? Es folgen eine vollständige Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmassnahme. Bei schwerwiegenden Vorfällen ohne Schwachstellenbezug gilt für den Abschlussbericht eine Frist von einem Monat. ### Welche internen Zuständigkeiten braucht ein Unternehmen für die 24-Stunden-Meldung? Vorab müssen Erkennung, Entscheidung, Inhalt und Übermittlung geregelt sein. Dazu braucht es eine Rollenteilung zwischen Sicherheitsteam, Rechtsabteilung und Geschäftsleitung sowie die Kenntnis des zuständigen CSIRT der Hauptniederlassung. ### Gilt der Cyber Resilience Act auch für Schweizer Hersteller? Ja, wenn sie Produkte mit digitalen Elementen in der EU oder im EWR vertreiben. Der Sitz spielt keine Rolle, und die Schweiz kennt kein vergleichbares horizontales Cybersicherheitsgesetz.