CRA-Meldepflicht seit 11. September 2026

Trifft eine Sicherheitslücke Ihre Steuerung, wissen Sie es am selben Tag.

Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden melden. Wir gleichen die Komponenten Ihrer Maschinen jeden Tag mit den Sicherheitshinweisen von Siemens, CERT@VDE, BSI, CISA und ENISA ab.

7 Tage kostenlos testen Keine Karte für 7 Tage. Kein Repository, keine Firmware-Datei.
Meldewart · Komponenten
Verpackungsmaschine VM-200 Beispieldaten
Apache Log4j 2.14.1aktiv ausgenutzt
CVE-2021-44228 · Log4Shell10.0 Behoben in 2.15.0 · Aktiv ausgenutzt laut CISA KEV seit 10.12.2021 · Quelle: NVD
VEGAPULS 6X · Firmware 1.0.31 offen
VDE-2026-016 · Ungeschützte Konfigurationsschnittstelle7.5 CVE-2026-3323 · behoben in Firmware 1.1.1 · CERT@VDE, 30.10.2026
WAGO PFC200 G2bewertet
VDE-2025-081 · Mehrere Schwachstellen in SPS und Kommunikationskomponenten8.3 nicht erreichbar CVE-2025-41700 und weitere · CERT@VDE, 01.10.2026 · Entscheidung mit Begründung im Protokoll

Ihre erste Montags-Übersicht: Montag, 08:00 Uhr

So funktioniert es

Drei Schritte, danach läuft es jeden Tag von selbst.

  1. Teile je Produkt eintragen

    Steuerung, HMI, Gateway, Industrie-PC, Betriebssystem, Bibliotheken, möglichst mit Firmwarestand. Eintippen, aus einer Liste wählen oder eine SBOM (CycloneDX, SPDX) oder CSV hochladen.

  2. Jeden Tag abgleichen

    Jeden Morgen lesen wir die Hinweise der Hersteller und Behörden und gleichen sie mit Ihren Komponenten ab. Aktiv ausgenutzte Schwachstellen markieren wir nach den Listen von CISA und ENISA.

  3. E-Mail am selben Tag

    Trifft ein Hinweis eine Ihrer Komponenten, kommt eine E-Mail mit Produkt, Teil, Schwachstelle, behobener Version und Quelle. Bei aktiver Ausnutzung mit den Fristen und einem Entwurf der Frühwarnung.

Diese Woche

Die neuesten Sicherheitshinweise aus unserem Datenbestand

Automatisch aus den Quellen gelesen, nicht von Hand eingetragen. Jeder Eintrag mit Datum, Hersteller und Link zum Original.

CVSS-Werte wie in der Quelle angegeben; „–“, wo die Quelle keinen nennt.

Ausprobieren

Komponente eintippen

Geben Sie ein Teil ein, das in Ihren Maschinen steckt, und sehen Sie die Hinweise mit Quelle, die wir dazu kennen.

Die Suche zeigt die Herstellerhinweise aus unserem Datenbestand. Im Konto prüfen wir zusätzlich Open-Source-Teile mit Version über NVD und OSV.

Was Sie bekommen

Alles, was Sie für die 24-Stunden-Frist wissen müssen, an einer Stelle.

Treffer mit Quelle und Datum

Für jede Komponente die passenden Hinweise, neueste zuerst: CVSS-Wert, betroffene und behobene Version, alle Ihre Produkte mit diesem Teil und der Link zum Original.

Aktiv ausgenutzt: sofort sichtbar

Steht eine Schwachstelle auf der Liste von CISA oder ENISA, markieren wir sie rot. Mit den Fristen 24 Stunden, 72 Stunden und 14 Tage und einem vorbereiteten Entwurf der Frühwarnung.

Entscheidungsprotokoll

Je Treffer halten Sie fest: betrifft uns, nicht erreichbar oder bereits behoben, mit Begründung. Mit Name und Datum, als PDF und CSV für das Audit oder Ihren Kunden.

Die Montags-Übersicht

Jeden Montag um 8 Uhr: was in der Woche neu war, was Sie schon bewertet haben, was noch offen ist und welche Quellen wir gelesen haben.

So sieht die Meldung aus

Beispiel mit echten Angaben aus dem Hinweis VDE-2026-016; Produkt und Firmwarestand sind Beispieldaten.

Von: Meldewart · An: Entwicklung
Neuer Sicherheitshinweis: VEGAPULS 6X in Verpackungsmaschine VM-200
Produkt
Verpackungsmaschine VM-200
Komponente
VEGAPULS 6X (Firmware 1.0.3)
Schwachstelle
VDE-2026-016 (CVE-2026-3323)
CVSS
7.5
Betroffen
≥ 1.0.0 und < 1.1.1
Behoben in
Firmware 1.1.1
Quelle
CERT@VDE, Stand 30.10.2026
Steht die Schwachstelle auf einer Ausnutzungsliste, enthält die E-Mail zusätzlich:
  • Frühwarnung innerhalb von 24 Stunden nach Kenntnis
  • Schwachstellenmeldung innerhalb von 72 Stunden
  • Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur verfügbar ist
Frühwarnung nach Art. 14 Abs. 2 Buchst. a CRA (Entwurf) Produkt: Verpackungsmaschine VM-200 Betroffene Komponente: VEGAPULS 6X 1.0.3 Schwachstelle: CVE-… Aktiv ausgenutzt laut: CISA KEV (seit …) Mitgliedstaaten: [bitte ergänzen]

Ob die Lücke in Ihrem Produkt erreichbar ist, bewerten Sie. Die Meldung geben Sie selbst über die Meldeplattform der ENISA ab.

Die Montags-Übersicht

Beispiel einer Woche; alle Zahlen sind Beispieldaten.

Beispiel einer Montags-Übersicht
BereichAnzahlZum Beispiel
Neu in dieser Woche2VEGAPULS 6X: VDE-2026-016, CVSS 7.5 (CERT@VDE, 30.10.)
Bewertet3WAGO PFC200 G2: VDE-2025-081 → nicht erreichbar
Noch offen4OpenSSL 3.0.2: neueste CVEs laut NVD
Gelesene Quellen8Siemens, CERT@VDE, CISA ICS, BSI, CISA KEV, ENISA, NVD, OSV

Unsere Quellen

Woher die Hinweise kommen

Wir lesen ausschließlich öffentliche Hinweise und verlinken jeden Treffer auf das Original. Schwachstellen, Werte, Versionen und Daten stammen nur aus diesen Quellen.

Meldewart wird von keiner dieser Stellen betrieben oder empfohlen. This product uses the NVD API but is not endorsed or certified by the NVD.

Für wen

Maschinen- und Anlagenbauer
tragen je Maschine Steuerung, HMI, Antriebe mit Netzwerk, Router und Industrie-PC ein.
Hersteller vernetzter Geräte
tragen Betriebssystem, Funkmodul, Bibliotheken und zugekaufte Module ein.
Zulieferer mit eigener Firmware
laden ihre SBOM hoch und ergänzen die zugekauften Bausteine.

Preis

Ein Plan für alle Ihre Produkte

89 € im Monat

zuzüglich gesetzlicher Umsatzsteuer, falls sie anfällt. Nur für Unternehmen.

  • Alle Produkte und Komponenten
  • Tägliche Prüfung gegen Siemens, CERT@VDE, BSI, CISA, ENISA, NVD und OSV
  • E-Mail am selben Tag, mit Fristen und Entwurf bei aktiver Ausnutzung
  • Entscheidungsprotokoll als PDF und CSV
  • Montags-Übersicht per E-Mail
  • Monatlich kündbar
7 Tage kostenlos testen

Die ersten 7 Tage sind kostenlos, ohne Karte. Der Plan beginnt nur, wenn Sie ihn wählen.

Fragen

Häufige Fragen

Gilt die Meldepflicht auch für Maschinen, die schon verkauft sind?

Ja, soweit sie in den Anwendungsbereich des CRA fallen. Nach Angaben des VDMA gilt die Meldepflicht seit dem 11. September 2026 auch für Bestandsprodukte. Schwachstellen, deren aktive Ausnutzung schon vor diesem Datum bekannt war, müssen nicht nachgemeldet werden.

Brauche ich dafür eine SBOM?

Nein. Eine Liste genügt: Steuerung, HMI, Gateway, Industrie-PC, Betriebssystem, Bibliotheken, möglichst mit Version. Wenn Sie bereits eine SBOM im Format CycloneDX oder SPDX haben, laden Sie sie hoch.

Welche Quellen prüfen Sie?

Siemens ProductCERT, CERT@VDE mit 40 Herstellern der Automatisierung (darunter WAGO, Beckhoff, Phoenix Contact, Pilz, Festo und CODESYS), den Warn- und Informationsdienst des BSI, die Hinweise der US-Behörde CISA, deren Liste aktiv ausgenutzter Schwachstellen, die europäische Datenbank der ENISA und die NVD.

Woher stammen die Angaben in den Treffern?

Schwachstelle, CVSS-Wert, betroffene und behobene Version, Datum und der Status „aktiv ausgenutzt“ kommen ausschließlich aus den genannten Quellen; jeder Treffer verlinkt das Original. Eine KI hilft nur beim Zuordnen eines eingetippten Teils, beim Zusammenfassen auf Deutsch und beim Formulieren des Entwurfs. Sie liefert nie selbst eine Schwachstelle oder einen Wert.

Melden Sie die Schwachstelle für mich?

Nein. Die Meldung geben Sie selbst über die Meldeplattform der ENISA ab. Wir bereiten die Angaben vor, nennen die Fristen und halten fest, was Sie entschieden haben.

Woran erkenne ich, ob eine Lücke mich wirklich betrifft?

Das bewerten Sie, denn entscheidend ist, ob die Schwachstelle in Ihrem Produkt erreichbar ist. Wir zeigen betroffene Versionen, verfügbare Updates und alle Ihre Produkte mit dieser Komponente. Ihre Entscheidung und die Begründung werden mit Datum dokumentiert.

Ist das eine Rechtsberatung?

Nein. Der Dienst informiert und dokumentiert. Ob in Ihrem Fall eine Meldepflicht besteht, klären Sie im Zweifel mit Ihrer Rechtsberatung.

Was kostet es?

89 € im Monat zuzüglich gesetzlicher Umsatzsteuer, falls sie anfällt, für alle Ihre Produkte. Die ersten 7 Tage sind kostenlos, ohne Karte. Monatlich kündbar. Das Angebot richtet sich ausschließlich an Unternehmen.

Die erste Prüfung dauert eine Minute.

Produkt anlegen, drei bis fünf Teile eintippen, Treffer mit Quelle sehen. Danach prüfen wir jeden Tag.

7 Tage kostenlos testen