# Die Normen mögen sich verschieben. Der Meldetermin nicht.

> Ein Änderungsentwurf würde die Normen zur Schwachstellenbehandlung im CRA nach hinten schieben. Artikel 14 bleibt unberührt — Hersteller dokumentieren damit eine Pflicht, deren Maßstab noch geschrieben wird.

Source: https://counterproof.io/de/notes/die-normen-verschieben-sich-der-meldetermin-nicht/ · Published 14 August 2026 · CounterProof ist eine Praxis der Clavestra Capital Limited (Malta, C 113987).


Im Cyber Resilience Act öffnet sich eine Lücke, und es lohnt sich, hier präzise zu sein — denn
Präzision ist an dieser Stelle der Unterschied zwischen Planen und Hoffen.

## Was feststeht

Zwei Termine der Verordnung (EU) 2024/2847 sind durch Artikel 71 gesetzt und werden von nichts
berührt, was in der Normung geschieht:

- **11. September 2026** — Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender
  Sicherheitsvorfälle nach Artikel 14, an das koordinierende CSIRT und die ENISA.
- **11. Dezember 2027** — die Verordnung gilt vollständig. Anhang I bindet, einschließlich
  Teil II Nummer 3: Hersteller müssen *„die Sicherheit des Produkts mit digitalen Elementen
  regelmäßig und wirksam testen und überprüfen."*

## Was sich bewegt

Die harmonisierten Normen im Rahmen des Normungsauftrags M/606 der Kommission (C(2025)618) sind
die Instrumente, die sagen werden, was *„regelmäßig und wirksam"* tatsächlich verlangt. Ein im
Juli 2026 zirkulierter Änderungsentwurf würde die Liefertermine für die
Schwachstellenmanagement-Normen später ansetzen als ursprünglich angefordert.

Wir drucken bewusst keinen Nachfolgetermin ab. Zum Datum dieser Notiz haben wir keinen im
Amtsblatt veröffentlichten, angenommenen Änderungsbeschluss gesehen, und die Normungsseite der
Kommission verweist weiterhin auf C(2025)618. Ein Vorschlag ist kein Zeitplan — und einen als
solchen auszugeben, ist die Art kleiner Fehler, die einen Leser das Vertrauen in alles Umliegende
kostet.

## Der Teil, der nicht vom Datum abhängt

Selbst wenn eine Norm geliefert ist, ist die Lieferung nicht der maßgebliche Moment. Nach
**Artikel 27 Absatz 1** begründet eine harmonisierte Norm die Konformitätsvermutung erst, wenn
ihre Fundstelle **im Amtsblatt der Europäischen Union veröffentlicht** ist — und das liegt nach
jedem Liefertermin, um ein Intervall, das niemand kontrolliert.

Die Form des Problems ist also stabil, egal welche Termine wohin fallen:

> Hersteller werden für eine gewisse Zeit die Einhaltung einer Prüfpflicht dokumentieren, bevor
> die Norm, die diese Pflicht definiert, zitierfähig ist.

Aufzeichnungen aus diesem Intervall können sich nicht auf die Konformität mit einer
veröffentlichten Norm stützen, denn es gibt noch keine, der man entsprechen könnte. Sie müssen
aus eigener Kraft stehen — rückführbar auf eine Revision, ehrlich darüber, was geprüft wurde und
was nicht, und lesbar für jemanden, der nicht im Raum war.

## Was wir tatsächlich tun würden

Nichts Dramatisches. Drei Dinge, geordnet danach, wie billig sie sind:

1. **Kennen Sie Ihre Einstufung.** Der Konformitätsweg ist keine Frage der Unternehmensgröße
   oder der Verbreitung — er folgt aus der Einstufung nach Anhang III / Anhang IV, und die
   Antwort ändert, was Sie schulden. Produkte des Anhangs III, die als freie und quelloffene
   Software gelten, haben nach Artikel 32 Absatz 5 einen eigenen Weg, sofern die technische
   Dokumentation öffentlich ist; diese Ausnahme reicht nicht bis Anhang IV.
2. **Beginnen Sie die technische Dokumentation jetzt, nicht 2027.** Anhang VII Nummer 6
   verlangt *„Berichte über die Tests und Prüfungen, die durchgeführt wurden, um die Konformität
   des Produkts mit digitalen Elementen und der Verfahren zur Behandlung von Schwachstellen …
   zu überprüfen."* Solche Berichte entstehen Release für Release — oder sie werden unter
   Termindruck aus dem Gedächtnis rekonstruiert. Das Erste ist Evidenz; das Zweite ist eine
   Erzählung.
3. **Halten Sie die Aufbewahrungsregel gerade.** Es ist **Artikel 13 Absatz 13** — technische
   Dokumentation und EU-Konformitätserklärung werden *mindestens zehn Jahre lang oder für die
   Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist*, aufbewahrt. Bei
   Infrastruktur mit langen Support-Zusagen ist meist der zweite Halbsatz der maßgebliche — und
   er ist der, den man fallen lässt.

## Korrekturen

Ist ein Datum oder eine Fundstelle in dieser Notiz falsch, hören wir es lieber, als öffentlich
recht zu behalten. Schreiben Sie uns, und wir korrigieren es hier — sichtbar, statt das Original
stillschweigend zu ändern.

*Bestimmungen geprüft gegen Verordnung (EU) 2024/2847; deutsche Zitate folgen der amtlichen
deutschen Sprachfassung. Normungszeitpläne bewegen sich; prüfen Sie den aktuellen
M/606-Zeitplan, bevor Sie sich darauf verlassen. Nichts hier ist Rechtsberatung.*