Ihr Gerät hat eine Lücke. Ihr Meldeweg steht.
Wer Produkte mit digitalen Elementen in der EU verkauft, muss aktiv ausgenutzte Schwachstellen seit dem 11. September 2026 binnen 24 Stunden melden. Wir klären, ob das Sie betrifft, bauen den Meldeweg und die Softwarestückliste und bereiten Sie auf die volle Anwendung im Dezember 2027 vor.
Grundlage: Verordnung (EU) 2024/2847, Artikel 14. Die Meldung läuft über die zentrale Meldeplattform. Stand November 2026, keine Rechtsberatung.
Wen es trifft
Es geht um Produkte mit digitalen Elementen, also Hardware und Software mit Datenverbindung.
Sensoren, Steuerungen, Gateways und Maschinen mit Firmware.
Auch reine Software kann unter die Verordnung fallen, wenn sie als Produkt in Verkehr gebracht wird.
Sie haben eigene Prüf- und Informationspflichten, und wer unter eigenem Namen verkauft, gilt als Hersteller.
Auch für sie gilt die Meldepflicht. Erleichterungen betreffen nur einzelne Punkte.
Was wir umsetzen
Vom Meldeweg, der sofort stehen muss, bis zu den Unterlagen für Ende 2027.
| Baustein | Was entsteht | Warum |
|---|---|---|
| Betroffenheit | Produktliste mit Einordnung und Rolle. | Davon hängt ab, welche Pflichten gelten. |
| Meldeweg | Ablauf, Zuständigkeit und Vorlagen für alle drei Meldungen. | 24 Stunden lassen keine Suche nach dem Zuständigen zu. |
| Schwachstellen-Kontakt | Öffentliche Meldeadresse und security.txt. | Forscher und Kunden müssen Sie erreichen können. |
| Softwarestückliste | SBOM automatisch aus dem Build. | Ohne sie wissen Sie nicht, ob eine neue Lücke Sie betrifft. |
| Überwachung | Abgleich der Stückliste mit bekannten Lücken. | So fällt eine Schwachstelle auf, bevor sie gemeldet wird. |
| Update-Prozess | Signierte Updates und Supportzeitraum. | Sicherheitsupdates sind ab 2027 Pflicht. |
| Technische Unterlagen | Zuarbeit für die Konformitätsbewertung. | Bewertung und CE-Erklärung liegen bei Ihnen. |
So läuft es ab
Vier Schritte. Der Meldeweg kommt zuerst.
Produkte, Rollen und Lieferkette klären.
Ablauf, Zuständige und Vorlagen stehen, geübt an einem Beispiel.
SBOM aus Ihrem Build und laufender Abgleich mit bekannten Lücken.
Liste der offenen Produktanforderungen mit Reihenfolge und Festpreis.
Warum die Stückliste der Anfang ist
Eine Meldefrist von 24 Stunden setzt voraus, dass Sie überhaupt erfahren, dass Sie betroffen sind. Dazu müssen Sie wissen, welche Bibliotheken in welcher Fassung in Ihrer Firmware stecken. Genau das liefert die Softwarestückliste. Sie entsteht automatisch beim Bauen und wird fortlaufend mit öffentlichen Schwachstellendatenbanken verglichen.
Zur Meldepflicht gehört auch der Altbestand: Sie gilt für Produkte, die bereits auf dem Markt sind. Wer heute schon Geräte im Feld hat, sollte deshalb zuerst wissen, was darauf läuft.
Was wir machen und was nicht
Klare Grenzen, damit Sie wissen, wofür Sie uns beauftragen.
Das machen wir
- Einordnung Ihrer Produkte und Rollen
- Meldeprozess mit Vorlagen und Übung
- Softwarestückliste und Abgleich mit Schwachstellen
- Öffentliche Meldeadresse und security.txt
- Absicherung des Update-Wegs
- Technische Zuarbeit für die Unterlagen
Das machen wir nicht
- Keine rechtsverbindliche Einordnung; die gehört zu einer Kanzlei
- Keine Konformitätsbewertung und keine CE-Erklärung; das bleibt beim Hersteller
- Keine Abgabe von Meldungen in Ihrem Namen ohne gesonderte Vereinbarung
- Keine Sicherheitszusage für Ihr Produkt
Passende Einstiege
Wenn Technik oder Pflichten dazukommen.
Datenzugang bei vernetzten Produkten.
NIS2 und KI-VerordnungWenn Ihr Betrieb selbst betroffen ist.
Prototyp ESP32 und RaspberryElektronik und Firmware aus einer Hand.
SchnittstellenWenn Systeme verbunden werden sollen.
Welche Produkte haben Sie im Feld?
Produktliste, Firmware-Stand und Ihre Rolle in der Lieferkette genügen für den ersten Schritt.
Beschreiben Sie Ihr Anliegen
Schreiben Sie uns kurz, worum es geht. Wir prüfen die Anfrage und melden uns per E-Mail mit dem nächsten Schritt.
Häufig gestellte Fragen
Gilt die Meldepflicht auch für Geräte, die schon verkauft sind?
Ja, nach übereinstimmender Einschätzung auch für Bestandsprodukte. Vor dem 11. September 2026 bekannte Fälle müssen nicht nachgemeldet werden.
Was muss bis wann fertig sein?
Die Meldepflicht gilt seit dem 11. September 2026. Die Anforderungen an das Produkt und die CE-Kennzeichnung gelten ab dem 11. Dezember 2027.
Wer nimmt die Meldung entgegen?
Sie läuft über die zentrale Meldeplattform an die zuständige Stelle und an die ENISA.
Sind kleine Hersteller ausgenommen?
Von der Meldepflicht nicht. Erleichterungen gibt es nur bei einzelnen Punkten.
Betrifft das auch Open-Source-Software?
Rein gemeinnützige Entwicklung ohne Geschäftstätigkeit fällt nicht darunter. Wer Open Source in sein Produkt einbaut, trägt dafür die Verantwortung.
Was kostet die Umsetzung?
Das hängt von Zahl der Produkte und vom Build-Prozess ab. Nach der Betroffenheitsklärung nennen wir einen Festpreis je Baustein.
Die Netzhandwerker