Die Meldepflichten nach Artikel 14 der Verordnung (EU) 2024/2847 gelten seit dem 11. September 2026. Wer ein Produkt mit digitalen Elementen in Verkehr bringt, muss eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall melden: Frühwarnung unverzüglich und spätestens binnen 24 Stunden, eine ausführlichere Meldung binnen 72 Stunden, dann der Abschlussbericht. Adressaten sind ENISA und die zuständigen nationalen CSIRTs. Die übrigen Anforderungen der Verordnung greifen ab dem 11. Dezember 2027.
Der Teil, der in dieser Branche am meisten Arbeit macht, steht nicht in der Frist: Die Meldepflicht erfasst auch Produkte, die schon vor der Vollanwendung auf dem Markt waren. Das Messgerät von 2019 mit Ethernet-Schnittstelle ist also dabei.
- 24 Stunden halten nur Daten, keine Ordner
-
Welche Typen und Varianten sind ausgeliefert, welche Firmwarestände laufen, welche Schnittstellen haben sie, welcher Kunde hat welches Gerät. Wer das als Datensätze führt, beantwortet die Frage in Minuten; wer es in Listen und Mails führt, in Tagen.
- Ein Hinweis braucht einen Ort
-
Zu jedem Gerät gehört eine Stelle, an der Hinweise zu Firmware, Sicherheitsaktualisierungen und bekannten Einschränkungen stehen — mit Datum. Dieselbe Struktur trägt später die Angaben, die ab Dezember 2027 dazukommen.
- Ein Meldeweg gehört auf die Seite
-
Wer eine Schwachstelle in deinem Gerät findet, braucht eine Adresse, an die er sie schicken kann. Steht sie nicht auf der Seite, erfährst du es später — und die Frist läuft ab deiner Kenntnis, nicht ab der Veröffentlichung.
Was im Einzelfall unter die Verordnung fällt und welche Nachweise verlangt werden, prüft deine Rechtsberatung oder deine Prüfstelle; die Fristen stehen in der Verordnung, die Auslegung reift noch. Unsere Aufgabe ist die Struktur, mit der du im Ernstfall binnen Stunden antworten kannst statt binnen Tagen.