CRA Reporting Deadline September 2026: What Manufacturers Must Do Now

Most conversations about the EU Cyber Resilience Act focus on the December 2027 deadline. But there’s an earlier deadline that many manufacturers are missing: September 11, 2026.

On that date, the CRA’s vulnerability and incident reporting obligations under Article 14 become enforceable. This applies to all products with digital elements on the EU market, including products already placed on the market before that date.

What Article 14 requires

Starting September 11, 2026, manufacturers must report two types of events to the designated national CSIRT and to ENISA via a single reporting platform.

First, actively exploited vulnerabilities in your product. The timeline for this is strict: initial notification within 24 hours, a follow-up report within 72 hours, and a final report within 14 days of mitigation.

Second, severe incidents that impact the security of the product. The same reporting timelines apply.

This is not theoretical. If a vulnerability in your product is being actively exploited and you fail to report it within 24 hours, you are in violation of the CRA.

Why this matters for SMEs

Many SMEs assume they have until December 2027 to worry about CRA compliance. That’s wrong. The reporting obligation is 15 months earlier, and it applies to products already on the market.

This means you need three things in place before September 2026: a way to discover that a vulnerability in your product is being actively exploited, an internal process to assess the severity and decide whether reporting is required, and the operational capability to file reports with ENISA within 24 hours.

How to prepare: 5 practical steps

Step 1: Set up a vulnerability intake channel

Create a public security contact (security@yourcompany.com) and a basic vulnerability disclosure policy. This is also explicitly required by the CRA (Annex I, Part 2, Points 5-6).

Step 2: Implement SBOM-based vulnerability monitoring

Generate an SBOM for your product and monitor the listed components against public vulnerability databases (NVD, OSV). This is how you learn about vulnerabilities in your dependencies before they are exploited.

Step 3: Define your internal triage process

When a vulnerability comes in (from your own monitoring, a customer report, or a security researcher), who assesses it? What criteria determine if it’s “actively exploited”? Who decides whether to report to ENISA? Document this in a simple one-page process.

Step 4: Prepare reporting templates

ENISA is building a single reporting platform, but the details are still being finalized. Prepare internal templates that capture the required information: product identification, vulnerability description, impact assessment, affected versions, and mitigation status.

Step 5: Run a tabletop exercise

Before September 2026, simulate a scenario where a critical vulnerability is reported in one of your dependencies. Walk through the full process: detection, triage, decision to report, report preparation, submission. Time it. If it takes more than 24 hours, simplify your process.

How this connects to full CRA compliance

The September 2026 reporting obligation is just the first milestone. By December 2027, you’ll need to meet the full set of CRA requirements, including risk assessment, security by design, SBOM, and technical documentation. Starting with vulnerability management now means you’re building a foundation that supports full compliance later.

What CompliPeak does for you

CompliPeak’s Vulnerability and Patch Management playbook (based on ENISA Playbook 4.13) walks you through setting up exactly this process. The guided workflow ensures you have the intake channel, triage criteria, SBOM monitoring, and reporting templates in place before the September 2026 deadline.

Join the waitlist to get early access.

CRA Meldepflicht September 2026: Was Hersteller jetzt tun müssen

Die meisten Diskussionen über den EU Cyber Resilience Act drehen sich um die Deadline im Dezember 2027. Aber es gibt eine frühere Frist, die viele Hersteller übersehen: den 11. September 2026.

An diesem Datum werden die Melde- und Berichtspflichten des CRA gemäss Artikel 14 durchsetzbar. Das gilt für alle Produkte mit digitalen Elementen auf dem EU-Markt, einschliesslich Produkte, die bereits vor diesem Datum auf dem Markt sind.

Was Artikel 14 verlangt

Ab dem 11. September 2026 müssen Hersteller zwei Arten von Ereignissen an das zuständige nationale CSIRT und an ENISA über eine einheitliche Meldeplattform melden.

Erstens: aktiv ausgenutzte Schwachstellen in Ihrem Produkt. Der Zeitplan ist streng: Erstmeldung innerhalb von 24 Stunden, Folgebericht innerhalb von 72 Stunden und Abschlussbericht innerhalb von 14 Tagen nach der Behebung.

Zweitens: schwerwiegende Vorfälle, die die Sicherheit des Produkts beeinträchtigen. Dieselben Meldefristen gelten.

Das ist keine Theorie. Wenn eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt wird und Sie es nicht innerhalb von 24 Stunden melden, verstossen Sie gegen den CRA.

Warum das für KMUs wichtig ist

Viele KMUs gehen davon aus, dass sie sich erst im Dezember 2027 um CRA-Compliance kümmern müssen. Das ist falsch. Die Meldepflicht greift 15 Monate früher, und sie gilt auch für Produkte, die bereits auf dem Markt sind.

Das heisst, Sie brauchen vor September 2026 drei Dinge: eine Möglichkeit festzustellen, dass eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt wird, einen internen Prozess zur Bewertung der Schwere und Entscheidung ob gemeldet werden muss, und die operative Fähigkeit, innerhalb von 24 Stunden Berichte bei ENISA einzureichen.

Vorbereitung: 5 praktische Schritte

Schritt 1: Richten Sie einen Vulnerability-Intake-Kanal ein

Erstellen Sie einen öffentlichen Sicherheitskontakt (security@ihreFirma.ch) und eine grundlegende Vulnerability Disclosure Policy. Das wird vom CRA auch explizit verlangt (Annex I, Teil 2, Punkte 5-6).

Schritt 2: Implementieren Sie SBOM-basiertes Vulnerability Monitoring

Generieren Sie ein SBOM für Ihr Produkt und überwachen Sie die gelisteten Komponenten gegen öffentliche Schwachstellen-Datenbanken (NVD, OSV). So erfahren Sie von Schwachstellen in Ihren Abhängigkeiten, bevor sie ausgenutzt werden.

Schritt 3: Definieren Sie Ihren internen Triage-Prozess

Wenn eine Schwachstelle reinkommt (aus eigenem Monitoring, Kundenreport oder von einem Security-Forscher): Wer bewertet sie? Welche Kriterien bestimmen ob sie “aktiv ausgenutzt” wird? Wer entscheidet über die Meldung an ENISA? Dokumentieren Sie das in einem einfachen einseitigen Prozess.

Schritt 4: Bereiten Sie Melde-Templates vor

ENISA baut gerade eine einheitliche Meldeplattform auf, aber die Details werden noch finalisiert. Bereiten Sie interne Templates vor, die die erforderlichen Informationen erfassen: Produktidentifikation, Schwachstellenbeschreibung, Auswirkungsbewertung, betroffene Versionen und Behebungsstatus.

Schritt 5: Führen Sie eine Tabletop-Übung durch

Simulieren Sie vor September 2026 ein Szenario, in dem eine kritische Schwachstelle in einer Ihrer Abhängigkeiten gemeldet wird. Gehen Sie den gesamten Prozess durch: Erkennung, Triage, Entscheidung zur Meldung, Berichterstellung, Einreichung. Messen Sie die Zeit. Wenn es länger als 24 Stunden dauert, vereinfachen Sie Ihren Prozess.

Zusammenhang mit der vollen CRA-Compliance

Die Meldepflicht ab September 2026 ist nur der erste Meilenstein. Bis Dezember 2027 müssen Sie die gesamten CRA-Anforderungen erfüllen, einschliesslich Risikobewertung, Security by Design, SBOM und technische Dokumentation. Wenn Sie jetzt mit Vulnerability Management beginnen, bauen Sie ein Fundament, das die volle Compliance später unterstützt.

Was CompliPeak für Sie tut

Das CompliPeak Vulnerability and Patch Management Playbook (basierend auf ENISA Playbook 4.13) führt Sie durch die Einrichtung genau dieses Prozesses. Der geführte Workflow stellt sicher, dass Sie Intake-Kanal, Triage-Kriterien, SBOM-Monitoring und Melde-Templates vor der September-2026-Deadline bereit haben.

Tragen Sie sich auf die Warteliste ein und erhalten Sie Early Access.