Hersteller werden daran erinnert, dass die Meldepflichten des CRA für Schwachstellen, die im September 2026 in Kraft treten, für alle derzeit auf dem Unionsmarkt aktiven Produkte mit digitalen Elementen gelten, nicht nur für neue Produkte, die nach Inkrafttreten der Gesetzgebung eingeführt werden.
Wird eine Schwachstelle in einem Bestandsprodukt aktiv ausgenutzt, das sich nach der Frist im September 2026 noch in seinem Support-Lebenszyklus befindet, ist der Hersteller gesetzlich verpflichtet, sie über die zentrale Meldeplattform zu melden. ENISA empfiehlt Organisationen, umfassende Audits ihrer aktiven Produktportfolios durchzuführen und ihre Richtlinien zum Lebenszyklusende (EOL) und zur Offenlegung von Schwachstellen entsprechend zu aktualisieren.