Die EU-Kommission bestätigt: Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen melden. Diese Nachricht ordnet einen Umsetzungsschritt im September ein; sie behauptet nicht, dass heute die gesamte Verordnung wirksam wird.
Die Kommission nennt eine Frühwarnung binnen 24 Stunden nach Kenntniserlangung und eine vollständige Meldung binnen 72 Stunden. Dafür dient die zentrale CRA-Meldeplattform. Diese Fristen betreffen die behördliche Meldung, nicht die Zusage eines Patches für Verbraucher innerhalb derselben Zeit.
Die wesentlichen CRA-Pflichten gelten ab 11. Dezember 2027. Auch die Meldepflichten für Open-Source-Software-Stewards ordnet die Kommission diesem späteren Datum zu. Es wäre deshalb falsch, sämtliche Softwareprojekte schon jetzt pauschal dem Hersteller-Zeitplan zuzuordnen.
Frage beim Kauf von Router, Kamera oder Software nach Sicherheits-Supportdauer, Update-Anleitung und Kontakt für Schwachstellen. Der September-Stichtag beweist keine bestandene Sicherheitsprüfung eines konkreten Modells. Diese Einordnung für Käufer fasst offizielle Informationen zusammen und bestimmt keine individuellen Rechtspflichten eines Unternehmens.