Cyber Resilience Act: Meldepflicht für smarte Wallboxen
4 Min. Lesezeit
Seit dem 11. September 2026 gilt die erste Meldepflicht des Cyber Resilience Act. Für private Wallbox-Besitzer entsteht dadurch keine neue Behördenmeldung. Die Fristen treffen Hersteller, sobald sie bei einem erfassten Produkt von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall erfahren, der die Sicherheit des Produkts beeinträchtigt.
Kurzantwort: Du musst deine Wallbox wegen des EU Cyber Resilience Act nicht innerhalb von 24 oder 72 Stunden bei einer Behörde melden. Diese Pflicht liegt beim Hersteller. Bei vernetzten Wallboxen können die CRA-Regeln greifen. Entscheidend sind die Funktionen und die vorgesehene oder vorhersehbare Datenverbindung des konkreten Modells.
Cyber Resilience Act: 24 Stunden, 72 Stunden, Abschluss
Die Europäische Kommission erklärt den Meldeablauf in mehreren Stufen. Innerhalb von 24 Stunden nach Kenntnis ist eine Frühwarnung fällig. Spätestens nach 72 Stunden folgt eine ausführlichere Meldung. Sie ist noch nicht der Abschlussbericht.
Danach laufen zwei verschiedene Fristen:
Bei einer aktiv ausgenutzten Schwachstelle muss der Hersteller den Abschlussbericht spätestens 14 Tage einreichen, nachdem eine Korrektur oder Maßnahme zur Risikominderung verfügbar ist.
Bei einem schwerwiegenden Sicherheitsvorfall folgt der Abschlussbericht binnen eines Monats nach der 72-Stunden-Meldung.
Artikel 14 der Verordnung (EU) 2024/2847 trennt diese beiden Wege. Hersteller reichen ihre Meldung über die Single Reporting Platform von ENISA ein. Zuständig ist dort der Endpunkt des koordinierenden CSIRT im Staat der EU-Hauptniederlassung des Herstellers; ENISA kann ebenfalls auf die Meldung zugreifen.
Gilt der Cyber Resilience Act für jede Wallbox?
Nein. Der CRA nennt Wallboxen nicht pauschal. Entscheidend ist, ob das Produkt bei seiner vorgesehenen oder vorhersehbaren Nutzung direkt oder indirekt Daten mit einem Gerät oder Netz austauscht. Bei einer Wallbox mit App oder Cloud-Anbindung liegt dieser Bezug nahe. Auch WLAN, Mobilfunk, Ethernet und die Verbindung zum Energiemanagement können relevant sein.
Eine einfache, nicht vernetzte Ladeeinrichtung lässt sich nicht automatisch gleich einordnen. Selbst bei einer smarten Wallbox bleibt das konkrete Produkt maßgeblich. Eine vorhandene Sicherheitslücke löst die Pflichtmeldung im Schwachstellenzweig außerdem nicht allein aus. Artikel 14 verlangt eine aktive Ausnutzung.
Wallbox-Meldepflicht ist nicht Netzbetreiber-Anmeldung
Die Netzbetreiber-Anmeldung einer Wallbox gehört zur elektrischen Anlage am Hausanschluss. Die CRA-Meldung betrifft die Produktsicherheit und richtet sich an den Hersteller. Als privater Besitzer musst du eine Sicherheitslücke daher nicht binnen 24 oder 72 Stunden an eine Behörde melden. Einen freiwilligen Hinweis kannst du weiterhin geben.
Auch ältere Geräte sind nicht automatisch außen vor. Nach Artikel 69 Absatz 3 gilt Artikel 14 ebenfalls für erfasste Produkte, die schon vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Die übrigen zentralen Pflichten des CRA gelten grundsätzlich ab dem 11. Dezember 2027. Das BSI nennt beide Stichtage in seiner CRA-Übersicht.
Was Käufer jetzt konkret prüfen können
Eine Austauschpflicht für vorhandene Wallboxen folgt aus der seit September geltenden Melderegel nicht. Beim Kauf sind stattdessen vier Fragen nützlich:
Nennt der Hersteller einen klaren Supportzeitraum?
Wie kommen Sicherheitsupdates auf die Wallbox?
Gibt es eine erreichbare Kontaktstelle für Schwachstellen?
Lädt das Auto weiter, wenn die Hersteller-Cloud ausfällt?
Der letzte Punkt ist praktisch, nicht bloß technisch. Der Überblick zu Wallboxen ohne Cloud-Zwang zeigt Modelle, die lokal mit evcc oder openWB arbeiten.
Datenschutz und Smart-Home-Kompatibilität sind andere Fragen. Beim Wallbox-Datenschutz geht es um Daten, die an Herstellerdienste fließen. Matter bei Wallboxen betrifft die Zusammenarbeit im Smart Home.
Vor dem Kauf lohnt deshalb ein Blick ins Supportversprechen und in die Update-Hinweise des Herstellers. Die 24- und 72-Stunden-Uhr läuft nicht bei dir, sondern beim Hersteller.
Häufig gestellte Fragen
Müssen private Wallbox-Besitzer nach dem CRA Sicherheitslücken melden?
Nein. Die verpflichtenden Fristen aus Artikel 14 richten sich an Hersteller. Private Besitzer können einen Hinweis freiwillig melden, haben aber keine neue 24- oder 72-Stunden-Pflicht.
Welche Wallboxen können unter den Cyber Resilience Act fallen?
Infrage kommen vernetzte Wallboxen, etwa mit App, Cloud, WLAN, Mobilfunk, Ethernet oder Energiemanagement. Der CRA nennt Wallboxen nicht pauschal. Funktionen und vorgesehene oder vorhersehbare Datenverbindungen des konkreten Produkts entscheiden.
Ist die 72-Stunden-Meldung der Abschlussbericht?
Nein. Nach der Frühwarnung binnen 24 Stunden folgt binnen 72 Stunden eine ausführlichere Meldung. Der Abschlussbericht kommt später: bei einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage nach Verfügbarkeit einer Korrektur oder Risikominderungsmaßnahme, bei einem schwerwiegenden Sicherheitsvorfall binnen eines Monats nach der 72-Stunden-Meldung.
Ersetzt die CRA-Meldung die Anmeldung beim Netzbetreiber?
Nein. Die Netzbetreiber-Anmeldung betrifft die elektrische Ladeeinrichtung am Hausanschluss. Die CRA-Meldung betrifft aktiv ausgenutzte Produktschwachstellen und schwerwiegende Sicherheitsvorfälle. Der Hersteller reicht sie über die EU-Meldeplattform ein.
