CRA-Meldepflicht: Ist Ihr Chat-Assistent betroffen?

Seit dem 11. September 2026 (Verordnung EU 2024/2847, Artikel 71) gilt die erste scharf gestellte Pflicht der Cyberresilienz-Verordnung: die Meldepflicht des Artikels 14. Sie läuft in Stunden, nicht in Wochen, und sie trifft den Hersteller eines Produkts mit digitalen Elementen. Für jeden, der einen KI-Chat-Assistenten betreibt oder ausliefert, steht damit eine Frage vor allen anderen: Ist dieser Assistent überhaupt ein solches Produkt? Die Antwort hängt nicht am Etikett des Angebots, sondern an der Bauform. Dieser Beitrag geht den Prüfweg Schritt für Schritt durch, ordnet die vier Bauformen ein, die in der Praxis vorkommen, benennt die Fristen im Wortlaut und zeigt, was im Betrieb eingerichtet sein muss, damit die erste Meldung nicht an einem fehlenden Zugang scheitert.

Grafik vergrößern

Beschriftungen der Abbildung

• Assistent im Einsatz
• Wird Software ausgeliefert
• oder beim Kunden betrieben?
• Ja
• Nein
• Ausgeliefertes Widget-Skript
• Artikel 14
• Self-hosted Komponente
• Artikel 14
• Ist die Serverfunktion für
• eine Produktfunktion unverzichtbar?
• Ja
• Integrale Datenfernverarbeitung
• Artikel 14
• Nein
• Reiner Cloud-Dienst
• NIS2
• Endknoten Artikel 14: ab Kenntnis läuft die Fristenkette
• 24 Stunden
• Frühwarnung an CSIRT und ENISA
• 72 Stunden
• Meldung mit Art der Ausnutzung
• Abschlussbericht
• 14 Tage nach dem Fix, 1 Monat nach Vorfall
• Die Meldepflicht trifft den Hersteller; ein reiner Cloud-Dienst wird nach NIS2 beurteilt

Fällt der Assistent unter die Meldepflicht?

Was am 11. September 2026 scharf gestellt wurde

Die Cyberresilienz-Verordnung wird gestaffelt anwendbar. Der Hauptteil mit den grundlegenden Cybersicherheitsanforderungen und der Konformitätsbewertung greift zum 11. Dezember 2027 (Verordnung EU 2024/2847, Artikel 71). Ein Artikel wurde vorgezogen: Die Meldepflichten des Artikels 14 gelten seit dem 11. September 2026 (Verordnung EU 2024/2847, Artikel 71). Das BSI beschreibt denselben Termin als 21 Monate (BSI) nach Inkrafttreten der Verordnung und führt ihn auf seiner Informationsseite mit derselben Datumsangabe.

Artikel 14 kennt zwei Meldearten mit getrennten Uhren. Die eine betrifft aktiv ausgenutzte Schwachstellen im Produkt, die andere schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken. Beide beginnen mit einer Frühwarnung binnen 24 Stunden (Verordnung EU 2024/2847, Artikel 14) ab Kenntnis des Herstellers, laufen danach aber unterschiedlich weiter. Wer nur eine der beiden Ketten einrichtet, hat die halbe Pflicht abgedeckt und merkt es in dem Moment, in dem die andere greift. Für den Betrieb heißt das: zwei Vorlagen, zwei Verteilerlisten, zwei Fristenuhren, und eine Entscheidung darüber, wer im Zweifel welche Kette auslöst.

Der Prüfweg: vier Bauformen, eine Frage

Die Verordnung erfasst Produkte mit digitalen Elementen. Ein Chat-Assistent besteht aus Software, aber Software wird dadurch nicht automatisch zum Produkt im Sinne der Verordnung. Entscheidend ist, wer sie entwickelt hat, wer sie ausliefert und wo sie läuft. Die Kommissionsdienststellen formulieren im technischen Fragenkatalog, dass eigenständige Software-as-a-Service-Angebote, die außerhalb der Verantwortung eines Herstellers eines Produkts mit digitalen Elementen entworfen und entwickelt wurden, selbst keine Produkte mit digitalen Elementen sind, dass sie aber in den Anwendungsbereich fallen, sobald sie die Definition der Datenfernverarbeitung erfüllen (Europäische Kommission, FAQ Version 1.3).

In der Praxis mischen sich diese Formen. Ein Assistent, der als Skript in die Seite eingebunden wird und dessen Antworten aus einer Serverfunktion des Anbieters stammen, ist beides zugleich: ein ausgeliefertes Bauteil und eine entfernte Verarbeitung, ohne die das Bauteil stumm bleibt. Genau diese Kombination ist der Regelfall, sobald ein Assistent in Website und Shop eingebunden wird. Wer die Integration dokumentiert, hat den Prüfweg schon zur Hälfte hinter sich, denn die Einordnung folgt aus dem Architekturbild, nicht aus dem Vertragstitel.

Datenfernverarbeitung ist der Begriff, der entscheidet

Die Verordnung definiert den Begriff eng und in einem einzigen Satz. Er ist der Prüfstein für jeden Assistenten, dessen Antworten nicht auf dem Gerät des Nutzers entstehen. Wer diesen Satz einmal gegen die eigene Architektur legt, hat die Einordnung meistens schon.

Drei Merkmale stehen in diesem Satz und alle drei müssen zusammentreffen. Erstens findet die Verarbeitung entfernt statt. Zweitens wurde die Software dafür vom Hersteller selbst oder unter seiner Verantwortung konzipiert und entwickelt. Drittens könnte das Produkt ohne sie eine seiner Funktionen nicht erfüllen. Fällt eines der drei Merkmale weg, ist die entfernte Verarbeitung kein Teil des Produkts und die Meldepflicht des Artikels 14 knüpft nicht an sie an.

• Der Assistent zeigt ohne die Serverfunktion keine Antwort mehr: die Verarbeitung ist integral und gehört zum Produkt.
• Der Assistent beantwortet weiter aus einer örtlichen Wissensbasis und nur die Anreicherung entfällt: die Verarbeitung ist ergänzend, nicht integral.
• Die Serverfunktion stammt von einem Dritten und entsteht ohne Zutun des Herstellers: sie zählt nicht zum Produkt dieses Herstellers.
• Die Serverfunktion entsteht unter der Verantwortung des Herstellers: sie zählt zum Produkt, auch wenn sie in fremder Infrastruktur läuft.

Für Betreiber heißt das: Die Frage nach dem Anwendungsbereich ist eine Architekturfrage. Wer den Assistenten so baut, dass die Wissensbasis und der Antwortpfad im eigenen Haus liegen, verschiebt die Einordnung nicht, macht sie aber prüfbar und belegbar. Wer sie über eine Kette fremder Dienste legt, muss für jedes Glied zwei Fragen beantworten: Wer hat es entwickelt, und was fällt ohne es aus? Diese Kette gehört ohnehin dokumentiert, weil sie zugleich die Grundlage für Datenschutz und Hosting und für jede Auskunft gegenüber einer Aufsichtsbehörde ist.

Die Fristenkette im Einzelnen

Die Fristen stehen im Wortlaut und lassen wenig Auslegungsspielraum. Sie sind als Kette gebaut: Jede Stufe setzt voraus, dass die vorige gelaufen ist, und jede Stufe verlangt mehr Inhalt als die vorige. Die erste Stufe ist bewusst schmal gehalten, damit sie schnell abgesetzt werden kann.

Praktisch bedeutet die Kette, dass zwischen Kenntnis und Frühwarnung höchstens ein Arbeitstag liegt und in den meisten Fällen deutlich weniger. Das ist dieselbe Zeitspanne, in der auch der technische Notbetrieb steht: Wer die Wege für Ausfall und Notbetrieb bereits geübt hat, kann die Meldekette an dieselbe Alarmierung hängen, statt sie daneben neu zu bauen.

Wohin gemeldet wird und wer zuständig ist

Für die Meldungen nach Artikel 14 richtet die ENISA eine einheitliche Meldeplattform ein; die Architektur sieht vor, dass Mitgliedstaaten und ENISA eigene Endpunkte für die elektronische Meldung betreiben (Verordnung EU 2024/2847, Artikel 16). Für deutsche Hersteller ist der erste Ansprechpartner damit das zuständige nationale CSIRT, und die Meldung geht zugleich an die ENISA. Das BSI benennt daneben den 11. Dezember 2026 (BSI) als Zeitpunkt, bis zu dem die Mitgliedstaaten für eine ausreichende Zahl notifizierter Stellen sorgen sollen. Diese Stellen betreffen die Konformitätsbewertung, nicht die Meldung, werden in Projektgesprächen aber regelmäßig miteinander verwechselt.

Aus den eingegangenen Meldungen erstellt die ENISA alle 24 Monate (Verordnung EU 2024/2847, Artikel 17) einen technischen Bericht über aufkommende Risikotrends bei Produkten mit digitalen Elementen. Bis zum 11. September 2028 (Verordnung EU 2024/2847, Artikel 70) legt die Kommission dem Parlament und dem Rat einen weiteren Bericht vor. Wer heute meldet, liefert also in eine Auswertung hinein, die den späteren Zuschnitt der Aufsicht mitbestimmt. Das ist ein Argument dafür, die Meldung sauber zu strukturieren statt sie als Formalie abzuhaken, und es ist ein Argument dafür, die eigene Werkzeugsteuerung so zu protokollieren, dass sich der Hergang später ohne Rekonstruktion erzählen lässt.

• Benannte Person mit Vertretung, die die Frühwarnung absetzen darf, ohne auf eine Freigabe aus der Geschäftsleitung zu warten.
• Zugang zur Meldeplattform eingerichtet und mindestens einmal ohne Ernstfall benutzt, damit die Anmeldung nicht in der ersten Stunde geklärt werden muss.
• Liste der Mitgliedstaaten, in denen das Produkt bereitgestellt wurde, gepflegt und ohne Rückfrage abrufbar.
• Zeitstempel der Kenntnisnahme protokolliert, mit Quelle und Empfänger, denn diese Uhrzeit entscheidet über die Einhaltung der Frist.
• Textbausteine für Frühwarnung, Meldung und Abschlussbericht vorbereitet, getrennt nach Schwachstelle und Sicherheitsvorfall.

Was ein Versäumnis kostet

Der Bußgeldrahmen ist gestuft. Bei Nichteinhaltung der grundlegenden Cybersicherheitsanforderungen oder bei Verstößen gegen die Pflichten der Artikel 13 und 14 sind Geldbußen von bis zu 15 000 000 EUR oder 2,5 % (Verordnung EU 2024/2847, Artikel 64) des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vorgesehen, je nachdem, welcher Betrag höher ist. Für eine zweite Gruppe von Pflichten liegt die Grenze bei 10 000 000 EUR oder 2 % (Verordnung EU 2024/2847, Artikel 64 Absatz 3), für falsche oder unvollständige Angaben gegenüber notifizierten Stellen und Marktüberwachungsbehörden bei 5 000 000 EUR oder 1 % (Verordnung EU 2024/2847, Artikel 64 Absatz 4). Die Meldepflicht liegt damit in der obersten Stufe, gemeinsam mit den Anforderungen an das Produkt selbst.

Die wirtschaftliche Größe ist damit ein Milderungsgrund für eine einzige Frist, kein Ausstieg aus dem Verfahren. Für einen Betrieb mit individuellen Funktionen im Assistenten heißt das: Die Pflicht wächst nicht mit der Firmengröße, sondern mit der Zahl der Funktionen, die ohne die entfernte Verarbeitung ausfallen würden.

Wie groß die Meldelast realistisch ist

Die Sorge, ab sofort wöchentlich melden zu müssen, hält der Datenlage nicht stand. Im Berichtszeitraum wurden 42.595 (ENISA) neue Schwachstellen offengelegt, ein Zuwachs von 27 % (ENISA) gegenüber dem Vorjahr. Aktiv ausgenutzt war davon nur ein Bruchteil: In den Katalog bekannter ausgenutzter Schwachstellen wurden im selben Zeitraum 245 (ENISA) Einträge aufgenommen, und aus europäischer Sicht wurden mindestens 115 (ENISA) ausgenutzte Schwachstellen mit Bezug zu Organisationen in den Mitgliedstaaten berichtet. Die Meldepflicht knüpft an die aktive Ausnutzung an, nicht an die Offenlegung. Das verschiebt die Größenordnung um zwei Zehnerpotenzen.

Für Deutschland zeichnet das BSI ein ähnliches Bild: 119 (BSI) neue Schwachstellen wurden im Berichtszeitraum durchschnittlich pro Tag bekannt, ein Wachstum von rund 24 % (BSI) gegenüber dem vorherigen Zeitraum. Und rund 80 Prozent (BSI) der angezeigten Angriffe richteten sich gegen kleine und mittlere Unternehmen, denen nach Einschätzung der Behörde häufig Mittel und Wissen fehlen, um sich selbstständig zu schützen. Wer daraus schließt, die Meldepflicht sei eine Angelegenheit großer Anbieter, liest die Zahl gegen ihre Aussage.

Der Weg in den Assistenten führt dabei selten über den Assistenten selbst. Lieferkettenrisiken machen 10,6 % (ENISA) der beobachteten Risiken aus, Web-Bedrohungen folgen mit 27,3 % (ENISA). Auf der technischen Seite dazu passt der Befund, dass der Anteil der Seiten mit mindestens einem Drittanbieter bei 90 % (Web Almanac) oder darüber liegt und der Median bei 83 Anfragen (Web Almanac) an Drittanbieter auf dem Desktop steht, wovon Skripte mit 24,8 % (Web Almanac) den größten Anteil der Inhaltstypen ausmachen. Ein Chat-Widget ist eines dieser Skripte. Was für die Angriffsfläche gilt, gilt auch für die Absicherung: Die Wege, die im Beitrag zu Prompt Injection beschrieben sind, sind zugleich die Wege, über die eine meldepflichtige Ausnutzung entstehen kann.

Bemerkenswert ist, wie oft Rechtsunsicherheit selbst zum Hindernis wird. Im Erhebungsjahr nutzten 19,95 % (Eurostat) der Unternehmen in der Union KI-Technologien, sprachgenerierende Verfahren kamen auf 8,76 % (Eurostat). Unter den Unternehmen, die den Einsatz erwogen und verworfen haben, nannten 52,52 % (Eurostat) unklare Rechtsfolgen als Grund. Ein sauber dokumentierter Prüfweg räumt genau dieses Hindernis ab, und zwar unabhängig davon, wie das Ergebnis ausfällt. Die Planung von Anfragespitzen im Weihnachtsgeschäft folgt derselben Logik: Bekannte Belastung ist beherrschbar, unbekannte nicht.

Was jetzt im Betrieb eingerichtet gehört

Der Aufwand liegt nicht in der Meldung selbst, sondern in den Voraussetzungen dafür. Eine Frühwarnung ist ein kurzer Text; ihn innerhalb eines Tages abzusetzen scheitert in der Praxis an Zugängen, Zuständigkeiten und daran, dass niemand die Liste der betroffenen Mitgliedstaaten zur Hand hat. Diese Dinge lassen sich vorher klären, und sie überschneiden sich weitgehend mit dem, was ohnehin für die Abnahme mit Testfällen vor dem Livegang aufgeschrieben wird.

• Einordnung schriftlich: Welche Bauform liegt vor, welche Serverfunktion ist integral, wer ist Hersteller im Sinne der Verordnung.
• Stückliste der Bauteile mit Herkunft, Fassung und Verantwortlichem, damit ein gemeldeter Fremdfehler binnen Stunden zugeordnet werden kann.
• Meldeweg als Ablauf hinterlegt, mit benannter Person, Vertretung und einem Weg, der auch am Wochenende trägt.
• Kenntniszeitpunkt technisch festhalten: Wer hat wann wovon erfahren, aus welcher Quelle, mit welchem Beleg.
• Kontaktstelle für Schwachstellenmeldungen von außen, veröffentlicht und tatsächlich gelesen.
• Unterstützungszeitraum festgelegt und dokumentiert, denn er beträgt nach Artikel 13 mindestens fünf Jahre (Verordnung EU 2024/2847, Artikel 13).
• Vertragliche Klärung mit Zulieferern, wer meldet, wenn der Fehler in einem zugekauften Bauteil liegt.

Der Umstieg auf eine neue Lösung ist der günstigste Zeitpunkt für diese Aufstellung, weil die Architektur ohnehin offen auf dem Tisch liegt. Wer einen Chatbot ablöst, sollte die Einordnung als Teil der Übergabe verlangen und nicht als nachgelagerte Rechtsfrage behandeln. Dasselbe gilt für einen neu gebauten Website-Assistenten: Die Frage, was ohne die entfernte Verarbeitung ausfällt, ist eine Entwurfsentscheidung und keine Auslegungsfrage im Nachhinein.

Abgrenzung zu NIS2 und Bestandsprodukte

Die Verordnung zieht die Grenze zu den Cloud-Diensten ausdrücklich: Die NIS-2-Richtlinie gilt für Cloud-Computing-Dienste und Dienstmodelle wie Software as a Service, Platform as a Service oder Infrastructure as a Service (Verordnung EU 2024/2847, Erwägungsgrund 12). Ein Assistent, der ausschließlich als Dienst angeboten wird und zu keinem ausgelieferten Produkt gehört, wird deshalb dort beurteilt und nicht hier. Derselbe Erwägungsgrund setzt im nächsten Satz allerdings eine Schwelle: In den Anwendungsbereich der Richtlinie fallen Einrichtungen, die Cloud-Computing-Dienste in der Union erbringen und als mittlere Unternehmen gelten oder deren Schwellenwerte überschreiten (Verordnung EU 2024/2847, Erwägungsgrund 12). Ein kleiner Anbieter unterhalb dieser Schwelle wird deshalb in der Regel weder von Artikel 14 noch von der NIS-2-Meldepflicht erfasst. Fällt der Anbieter dagegen in den Anwendungsbereich der Richtlinie, ändert die Einordnung die Adressaten, nicht das Tempo: Auch die NIS-2-Richtlinie verlangt dann eine Frühwarnung innerhalb von 24 Stunden (Richtlinie EU 2022/2555, Artikel 23) nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls. Die Einordnung sagt in diesem Fall, an wen gemeldet wird; ob überhaupt schnell gemeldet werden muss, entscheidet sich zuvor am Anwendungsbereich und an der Größe des Anbieters. Wer die Hosting-Frage ohnehin klärt, findet in Datenschutz und Hosting die Anschlussstelle für diese Abgrenzung.

Für den Bestand gibt es keine Schonfrist. Abweichend von der allgemeinen Übergangsregel gelten die Pflichten des Artikels 14 für alle Produkte mit digitalen Elementen im Anwendungsbereich, die vor dem 11. Dezember 2027 (Verordnung EU 2024/2847, Artikel 69) in Verkehr gebracht wurden. Ein Assistent, der seit zwei Jahren läuft, ist damit ebenso erfasst wie einer, der morgen startet.

Bleibt die Frage nach den wichtigen Produkten. Anhang III Klasse I nennt 19 (Verordnung EU 2024/2847, Anhang III) Kategorien; die Durchführungsverordnung beschreibt eine davon als Produkte, die über das öffentliche Internet kommunizieren, Anfragen auf Grundlage natürlicher Sprache bearbeiten und darüber Zugang zu anderen Diensten gewähren oder Geräte in Wohnumgebungen steuern (Durchführungsverordnung EU 2025/2392). Ein Assistent auf einer Unternehmensseite ohne Gerätesteuerung liegt in der Regel außerhalb dieser Klasse. Für die Konformitätsbewertung macht das einen Unterschied, für die Meldepflicht des Artikels 14 nicht. Wie sich die Einordnung zur datenschutzrechtlichen Bewertung verhält, steht im Beitrag zu DSGVO und Hosting im Chat. Wie XICBOT Störungen meldet, steht auf der Statusseite, wie Änderungen ausgeliefert und festgehalten werden, im Changelog.

Häufige Fragen