CRA-Meldepflicht ab 11. September: Was China-Importeure jetzt von Herstellern digitaler Produkte brauchen

Was ändert sich am 11. September 2026?

Die CRA Single Reporting Platform soll am 11. September 2026 für verpflichtende Meldungen betriebsbereit sein. ENISA hat die FAQ zur Plattform am 4. September 2026 aktualisiert und darin den Starttermin, die zunächst verfügbaren Meldearten und die Fristen beschrieben.

CRA steht für Cyber Resilience Act. Der Cyber Resilience Act ist die EU-Regelung, die in diesem Zusammenhang Anforderungen an Produkte mit digitalen Elementen und an deren Sicherheitsprozesse festlegt. Für China-Importeure ist die zentrale Folge nicht automatisch eine eigene Meldung über jedes importierte Produkt. Entscheidend ist vielmehr, ob der Importeur vor dem Inverkehrbringen belastbare Nachweise des Herstellers besitzt und die erforderlichen Prüfungen durchführen kann.

Zum Start der Plattform sind nur verpflichtende Meldungen vorgesehen. Freiwillige Meldungen sollen zu diesem Zeitpunkt noch nicht möglich sein. Diese Unterscheidung ist für die interne Planung relevant: Ein Importeur kann die Plattform nicht als allgemeines freiwilliges Hinweisportal einplanen, wenn der Hersteller oder eine andere zuständige Partei einen meldepflichtigen Vorgang bearbeiten muss.

Welche Ereignisse müssen Hersteller melden?

Hersteller müssen zwei Ereignistypen melden: aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle, die Produkte mit digitalen Elementen betreffen. Die Meldepflicht knüpft damit an konkrete Sicherheitsereignisse an und nicht lediglich an die Tatsache, dass ein Produkt aus China stammt.

Eine Schwachstelle ist in diesem Beitrag eine Sicherheitslücke, die aktiv ausgenutzt wird. Ein schwerwiegender Sicherheitsvorfall ist ein Sicherheitsereignis, das ein Produkt mit digitalen Elementen betrifft und nach den CRA-Meldeanforderungen als schwerwiegend einzuordnen ist. Die gelieferten Quellen geben für diese Einordnung keine zusätzliche Prüfliste vor. Deshalb sollten Sie keine eigene Schwelle aus nicht belegten Annahmen ableiten.

Die Meldung erfolgt über eine einzige Plattform. Die Europäische Kommission bestätigt den Beginn der Meldepflichten am 11. September 2026 und verweist auf die zentrale Meldung über die Plattform. ENISA beschreibt in den aktualisierten FAQ, dass zunächst die verpflichtenden Meldearten bereitstehen.

Welche Fristen gelten?

Für die Frühwarnung gilt eine Frist von höchstens 24 Stunden. Die vollständige Erstmeldung muss innerhalb von höchstens 72 Stunden erfolgen.

Bei einer aktiv ausgenutzten Schwachstelle folgt der Abschlussbericht spätestens 14 Tage nach der Verfügbarkeit einer Korrekturmaßnahme. Bei einem schwerwiegenden Sicherheitsvorfall muss der Abschlussbericht innerhalb eines Monats folgen.

Meldeschritt	Frist	Bedeutung für den Importeur
Frühwarnung	höchstens 24 Stunden	Der Hersteller benötigt einen Prozess, der relevante Informationen sehr schnell weiterleitet.
Vollständige Erstmeldung	höchstens 72 Stunden	Die erste vollständige Meldung darf nicht erst nach Abschluss der Ursachenanalyse eingeplant werden.
Abschlussbericht bei aktiv ausgenutzter Schwachstelle	spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme	Der Zeitpunkt der verfügbaren Korrekturmaßnahme muss nachvollziehbar dokumentiert werden.
Abschlussbericht bei schwerwiegendem Sicherheitsvorfall	innerhalb eines Monats	Der Hersteller braucht einen Prozess für die weitere Aufklärung und den Abschluss.

Die Fristen beginnen keine interne Auslegung zu ersetzen. Sie sollten mit dem chinesischen Hersteller klären, wann er ein Ereignis als meldepflichtig behandelt, wer die Uhr startet und wie Sie als Importeur informiert werden. Die Quellen nennen die Fristen, aber keine zusätzliche vertragliche Vorlage für die Kommunikation zwischen Hersteller und Importeur.

Ist der China-Importeur selbst der meldepflichtige Hersteller?

China-Importeure sind häufig nicht selbst die meldende Herstellerpartei. Diese Einordnung ist vorsichtig zu verwenden, weil die konkrete Rolle vom jeweiligen Produkt- und Vertriebsfall abhängt und die gelieferten Fakten keine vollständige Rollenprüfung für jeden Einzelfall enthalten.

Für den Importeur entsteht trotzdem eine konkrete Prüf- und Nachweissituation. Vor dem Inverkehrbringen müssen Sie unter anderem die Konformitätsbewertung des Herstellers, die technische Dokumentation, die CE-Kennzeichnung, die EU-Konformitätserklärung und verständliche Nutzerinformationen prüfen.

„Inverkehrbringen“ bezeichnet hier den Zeitpunkt, vor dem Sie das digitale Produkt auf dem EU-Markt bereitstellen. Der Importeur sollte die Unterlagen deshalb nicht erst nach der Ankunft der Ware oder nach einem Sicherheitsvorfall anfordern. Die Prüfung gehört in den Beschaffungs- und Freigabeprozess.

Sie sollten außerdem unterscheiden zwischen der Pflicht, Unterlagen zu prüfen, und der Pflicht, eine Sicherheitsmeldung einzureichen. Die gelieferten Fakten bestätigen die genannten Prüfpflichten und die Meldefristen für Hersteller. Sie belegen nicht, dass jeder Importeur automatisch jede Hersteller-Meldung selbst übermitteln muss.

Welche Unterlagen muss der Hersteller liefern?

Der Hersteller muss dem Importeur die Unterlagen und Informationen bereitstellen, die eine Prüfung der genannten CRA-Anforderungen ermöglichen. Aus den Rechercheangaben ergeben sich fünf zentrale Dokumentgruppen.

1. Nachweis der Konformitätsbewertung: Sie sollten prüfen, ob der Hersteller die Konformitätsbewertung durchgeführt hat und welche Unterlagen diese Bewertung belegen.
2. Technische Dokumentation: Sie sollten die technische Dokumentation vor dem Inverkehrbringen anfordern und darauf prüfen, ob sie dem konkreten Produkt zugeordnet ist.
3. CE-Kennzeichnung: Sie sollten kontrollieren, ob das Produkt mit der erforderlichen CE-Kennzeichnung versehen ist.
4. EU-Konformitätserklärung: Sie sollten eine EU-Konformitätserklärung des Herstellers anfordern und die Produktzuordnung nachvollziehbar archivieren.
5. Verständliche Nutzerinformationen: Sie sollten prüfen, ob die Informationen für Nutzer verständlich vorliegen.

Die CE-Kennzeichnung ist in diesem Beitrag kein bloßes Gestaltungselement auf Verpackung oder Produkt. Sie ist ein Nachweis, den der Importeur im Rahmen seiner Prüfung berücksichtigen muss. Die CE-Kennzeichnung allein ersetzt jedoch nicht die EU-Konformitätserklärung oder die technische Dokumentation.

Die EU-Konformitätserklärung ist eine Erklärung des Herstellers zur Konformität des Produkts. Der Importeur sollte deshalb nicht nur eine Produktverpackung mit CE-Zeichen fotografieren, sondern eine vollständige Erklärung in seinen Unterlagen ablegen.

Welche Sicherheitsprozesse sollten Sie beim Hersteller prüfen?

Sie sollten vom chinesischen Hersteller einen nachvollziehbaren Prozess für Schwachstellen und Sicherheitsvorfälle verlangen. Die Rechercheangaben bestätigen die Meldepflichten und Fristen, nennen aber keine einzelne vorgeschriebene Prozessvorlage; deshalb sollte die Prüfung auf die tatsächlich nachweisbaren Abläufe des Herstellers konzentriert werden.

Klären Sie schriftlich mindestens folgende Punkte:

• Wer beim Hersteller Sicherheitsereignisse entgegennimmt und bewertet.
• Wie der Hersteller aktiv ausgenutzte Schwachstellen erkennt und intern eskaliert.
• Wie ein schwerwiegender Sicherheitsvorfall dokumentiert wird.
• Wer die Frühwarnung innerhalb von höchstens 24 Stunden vorbereitet.
• Wer die vollständige Erstmeldung innerhalb von höchstens 72 Stunden verantwortet.
• Wie der Hersteller den Zeitpunkt einer verfügbaren Korrekturmaßnahme dokumentiert.
• Wie der Abschlussbericht bei einer aktiv ausgenutzten Schwachstelle innerhalb der 14-Tage-Frist vorbereitet wird.
• Wie der Abschlussbericht bei einem schwerwiegenden Sicherheitsvorfall innerhalb eines Monats erstellt wird.
• Wie und wann der Importeur über eine Meldung, eine Korrekturmaßnahme und den Abschlussbericht informiert wird.

Diese Punkte sind eine praktische Importkontrolle und keine zusätzliche, aus den Quellen abgeleitete Gesetzesliste. Sie helfen Ihnen, zwischen einer bloßen Zusicherung des Herstellers und einem nachweisbaren Sicherheitsprozess zu unterscheiden.

Welche Belege sollten Sie vor der Bestellung anfordern?

Sie sollten die CRA-Unterlagen vor der verbindlichen Freigabe des Produkts anfordern und nicht erst nach dem Versand. Der frühe Zeitpunkt reduziert das Risiko, dass Sie Ware ohne zuordenbare Nachweise in den EU-Markt bringen.

Praktische Dokumenten-Checkliste

1. Fordern Sie die EU-Konformitätserklärung für das konkrete Produktmodell an.
2. Fordern Sie die technische Dokumentation für dasselbe Modell und dieselbe Produktvariante an.
3. Lassen Sie sich die CE-Kennzeichnung am Produkt und in den verfügbaren Produktunterlagen zuordnen.
4. Fordern Sie verständliche Nutzerinformationen an.
5. Bitten Sie den Hersteller um eine Beschreibung seines Prozesses für aktiv ausgenutzte Schwachstellen.
6. Bitten Sie um eine Beschreibung seines Prozesses für schwerwiegende Sicherheitsvorfälle.
7. Lassen Sie die verantwortlichen Kommunikationsstellen und die Eskalationswege dokumentieren.
8. Legen Sie die erhaltenen Dateien mit Produktmodell, Version und Eingangsdatum ab.
9. Prüfen Sie vor dem Inverkehrbringen, ob die Unterlagen vollständig und einander eindeutig zugeordnet sind.
10. Halten Sie offene Punkte fest und geben Sie das Produkt erst nach ihrer Bewertung frei.

Die Checkliste beweist nicht selbst die Konformität des Produkts. Sie schafft aber eine dokumentierte Grundlage dafür, dass Sie die vom Hersteller bereitzustellenden Nachweise tatsächlich geprüft haben.

Wie lange müssen Sie die EU-Konformitätserklärung aufbewahren?

Ein Importeur muss die EU-Konformitätserklärung mindestens zehn Jahre nach dem Inverkehrbringen oder für die Dauer des Supportzeitraums aufbewahren, je nachdem, welcher Zeitraum länger ist. Die Aufbewahrungsfrist bezieht sich damit nicht automatisch nur auf zehn Jahre.

Sie sollten für jedes Produkt festhalten, wann es in Verkehr gebracht wurde und welcher Supportzeitraum gilt. Wenn der Supportzeitraum länger als zehn Jahre ist, ist nach den gelieferten Fakten der längere Zeitraum maßgeblich. Wenn kein längerer Supportzeitraum greift, bleibt die Mindestdauer von zehn Jahren relevant.

Die Aufbewahrung sollte so organisiert sein, dass die Erklärung dem konkreten Produkt, Modell und Hersteller zugeordnet werden kann. Ein unbenannter Dateianhang ohne Produktbezug erschwert den Nachweis, dass die richtige Erklärung archiviert wurde.

Was bedeutet der Plattformstart für Ihre Lieferantenkommunikation?

Sie sollten den 11. September 2026 als festen Termin für eine Lieferantenabfrage behandeln. Die Plattform soll an diesem Tag für verpflichtende Meldungen betriebsbereit sein; deshalb sollte Ihr chinesischer Hersteller vor diesem Datum einen erreichbaren Sicherheitskontakt und einen internen Eskalationsweg benennen.

Die Abfrage sollte nicht nur lauten, ob der Hersteller „CRA-konform“ ist. Diese pauschale Antwort lässt offen, welche Dokumente existieren, wer Sicherheitsereignisse bewertet und wie die 24- und 72-Stunden-Fristen eingehalten werden.

Eine sachliche Anfrage kann stattdessen folgende Nachweise verlangen:

• EU-Konformitätserklärung für das konkrete Produkt.
• Technische Dokumentation und Zuordnung zur Produktversion.
• Nachweis der CE-Kennzeichnung.
• Verständliche Nutzerinformationen.
• Beschreibung des Meldeprozesses für aktiv ausgenutzte Schwachstellen.
• Beschreibung des Meldeprozesses für schwerwiegende Sicherheitsvorfälle.
• Benannter Kontakt für zeitkritische Informationen.
• Verfahren zur Information des Importeurs über Korrekturmaßnahmen und Abschlussberichte.

Diese Anfrage ersetzt keine rechtliche Einzelfallprüfung. Sie macht jedoch sichtbar, ob der Hersteller auf die CRA-Anforderungen mit konkreten Dokumenten und Prozessen antwortet oder nur mit einer allgemeinen Erklärung.

Was ist belegt und was bleibt offen?

Belegt ist der aktualisierte ENISA-FAQ-Stand vom 4. September 2026. Ebenfalls belegt sind der geplante Plattformstart am 11. September 2026, die zunächst ausschließlich verpflichtenden Meldungen, die beiden Ereignistypen und die genannten Fristen.

Belegt ist außerdem, dass ein EU-Importeur vor dem Inverkehrbringen die Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung, EU-Konformitätserklärung und verständliche Nutzerinformationen des Herstellers prüfen muss. Belegt ist auch die Aufbewahrung der EU-Konformitätserklärung für mindestens zehn Jahre oder den längeren Supportzeitraum.

Offen bleibt auf Grundlage der gelieferten Fakten, wie jeder konkrete Importfall rechtlich einzuordnen ist. Nicht jeder Importeur übernimmt automatisch dieselbe Rolle, und aus den Quellen lässt sich keine pauschale Aussage ableiten, dass jeder Importeur selbst jede Meldung übermitteln muss.

Offen bleibt außerdem, welche konkreten technischen Eingabefelder und Abläufe die Plattform nach dem Start für jeden einzelnen Fall bereitstellt. Die belegte Aussage beschränkt sich darauf, dass die Plattform für verpflichtende Meldungen betriebsbereit sein soll und dass die Meldungen über eine einzige Plattform erfolgen.

Welche Schritte sollten Sie jetzt durchführen?

Sie sollten Ihre Produktfreigabe vor dem Inverkehrbringen um eine dokumentierte CRA-Prüfung ergänzen. Die folgenden Schritte verbinden die belegten Anforderungen mit einer praktikablen Importkontrolle:

1. Erstellen Sie eine Liste der digitalen Produkte und der jeweils verantwortlichen chinesischen Hersteller.
2. Fordern Sie für jedes Produkt die fünf zentralen Nachweisgruppen an: Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung, EU-Konformitätserklärung und Nutzerinformationen.
3. Ordnen Sie jedes Dokument dem konkreten Modell und der konkreten Produktversion zu.
4. Fragen Sie den Hersteller nach seinem Prozess für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.
5. Dokumentieren Sie die Ansprechpartner für zeitkritische Informationen.
6. Prüfen Sie, wie die Frühwarnung innerhalb von höchstens 24 Stunden und die vollständige Erstmeldung innerhalb von höchstens 72 Stunden vorbereitet werden.
7. Dokumentieren Sie, wie Korrekturmaßnahmen und Abschlussberichte nachverfolgt werden.
8. Erfassen Sie das Datum des Inverkehrbringens und den Supportzeitraum.
9. Archivieren Sie die EU-Konformitätserklärung für mindestens zehn Jahre oder den längeren Supportzeitraum.
10. Halten Sie fehlende Nachweise und offene Einzelfallfragen vor der Freigabe schriftlich fest.

Der wichtigste operative Punkt ist die Nachweisführung vor dem Inverkehrbringen. Ein CE-Zeichen ohne zugeordnete Erklärung, technische Dokumentation und verständliche Nutzerinformationen bildet keine vollständige Importakte nach den hier zugrunde gelegten Anforderungen.

Quellen

Die Einordnung stützt sich auf die am 4. September 2026 aktualisierten ENISA-FAQ zur CRA Single Reporting Platform, die Informationen der Europäischen Kommission zu den CRA-Meldepflichten vom 31. Juli 2026 sowie Artikel 19 der Verordnung (EU) 2024/2847 zum Cyber Resilience Act.

Quellen

Stand der Recherche: 2026-09-07. Die folgenden Originalquellen wurden für die Faktenprüfung herangezogen:

• ENISA – All you need to know about the CRA Single Reporting Platform – Frequently Asked Questions (2026-09-04): ENISA nennt den 11. September 2026 als Starttermin der Plattform, beschreibt die zunächst ausschließlich verpflichtenden Meldungen sowie die beiden meldepflichtigen Ereignistypen und die 24-, 72- und 14-Tage- beziehungsweise Monatsfristen.
• European Commission, Directorate-General for Communications Networks, Content and Technology – Cyber Resilience Act – Reporting obligations (2026-07-31): Die Kommission bestätigt den Beginn der Meldepflichten am 11. September 2026, die Meldung über eine einzige Plattform und die Fristen von 24 Stunden, 72 Stunden, 14 Tagen und einem Monat.
• EUR-Lex / European Union – Regulation (EU) 2024/2847 – Cyber Resilience Act (2024-11-20): Artikel 19 verpflichtet Importeure zur Prüfung von Konformitätsbewertung, technischer Dokumentation, CE-Kennzeichnung, EU-Konformitätserklärung und Nutzerinformationen sowie zur Aufbewahrung der Konformitätserklärung für mindestens zehn Jahre oder für den längeren Supportzeitraum.