„Wir sind ein Startup, wir sind von der 24-Stunden-Meldefrist ausgenommen." Dieser Satz kursiert seit dem 11. September 2026 in Gründerkreisen, und er ist gefährlicher als die meisten Mythen zum Cyber Resilience Act (EU CRA): Er ist nicht frei erfunden, sondern eine Fehldeutung einer echten Regelung. Genau deshalb hält er sich so hartnäckig. Dieser Beitrag zeigt, was die Startup-Erleichterung im EU CRA wirklich hergibt und was nicht.
Was regelt die Ausnahme in Artikel 64 Absatz 10?
Der EU CRA kennt tatsächlich eine Erleichterung für kleine Hersteller. Artikel 64 Absatz 10 nimmt Kleinstunternehmen (unter 10 Mitarbeiter, maximal 2 Millionen Euro Umsatz oder Bilanzsumme) und kleine Unternehmen (unter 50 Mitarbeiter, maximal 10 Millionen Euro) von Bußgeldern aus, wenn sie eine ganz bestimmte Frist verfehlen: die 24-Stunden-Frühwarnung nach Artikel 14 Absatz 2 Buchstabe a und Absatz 4 Buchstabe a. Sie ist Teil eines kleinen Pakets an Erleichterungen für KMU, das der EU CRA vorsieht.
Mehr steht in Artikel 64 Absatz 10 EU CRA nicht: Die Regelung betrifft ausschließlich das Bußgeld für die verspätete Frühwarnung. Drei Dinge stehen dort nicht:
- Die Meldepflicht selbst entfällt nicht. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen auch Fünf-Personen-Teams über die Single Reporting Platform melden. Was genau meldepflichtig ist, regelt Artikel 14 EU CRA.
- Die 72-Stunden-Meldung und der Abschlussbericht sind nicht erfasst. Die Ausnahme deckt nur die Frühwarnstufe. Wer sich dort Zeit lässt, steht trotzdem drei Tage später mit der vollen Detailmeldung in der Pflicht.
- Die Erleichterung wächst nicht mit. Ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz ist sie weg. Zusätzlich gilt: Die Unternehmensgröße fließt ohnehin in die Bußgeldbemessung ein, das regelt die Verhältnismäßigkeit, nicht den Bestand der Pflicht.
Warum ist der Denkfehler für Startups besonders teuer?
Ein Beispiel: Ein zwölfköpfiges IoT-Startup erfährt am Dienstag, dass eine Schwachstelle in seinem Gateway aktiv ausgenutzt wird. Die Frühwarnung dürfte, rein bußgeldseitig, straffrei zu spät kommen. Die 72-Stunden-Meldung am Freitag nicht. Wer bis dahin keinen Prozess hat, hat auch am Freitag keinen. Und die Uhr für beide Fristen läuft ab Kenntnis, wie im Beitrag zur 24-Stunden-Frist ab Kenntnis beschrieben.
Dazu kommt das eigentliche Risiko, das kein Bußgeld-Paragraf abbildet: Für ein junges Unternehmen mit den ersten Enterprise-Kunden ist ein schlecht gemanagter Sicherheitsvorfall existenzbedrohender als jede Geldbuße. Der Kunde, der im Lieferantenaudit nach Ihrem Meldeprozess fragt, akzeptiert „wir sind unter 50 Leute" nicht als Antwort. Und wer seinen Prozess auf die Ausnahme baut, muss ihn beim Wachstum über die Schwelle komplett neu aufsetzen, typischerweise genau dann, wenn ohnehin alles gleichzeitig passiert. Dass die Verordnung insgesamt keine Größenklasse verschont, habe ich bereits im Beitrag warum auch der Mittelstand voll betroffen ist aufgeschrieben.
Mythos vs. Fakt
Mythos: Startups und kleine Hersteller sind von der Meldepflicht des EU CRA und der 24-Stunden-Frist ausgenommen.
Fakt: Kleinst- und Kleinunternehmen sind nach Artikel 64 Absatz 10 EU CRA nur von Bußgeldern für das Verfehlen der 24-Stunden-Frühwarnung befreit. Die Meldepflicht selbst, die 72-Stunden-Meldung und der Abschlussbericht gelten uneingeschränkt, und die Erleichterung endet bei 50 Mitarbeitern oder 10 Millionen Euro.
Konkrete Konsequenzen für kleine Teams
1. Behandeln Sie die Ausnahme als Airbag, nicht als Fahrstil. Planen Sie Ihren Meldeprozess so, als gäbe es die Bußgeld-Befreiung nicht. Sie ist das Sicherheitsnetz für den Fall, dass trotz Vorbereitung etwas schiefgeht, nicht die Rechtfertigung, keine Vorbereitung zu haben.
2. Bauen Sie die schlanke Version, sie reicht. Artikel 14 ist für kleine Teams gut beherrschbar: ein Meldeverantwortlicher mit Vertretung, vorbereitete Vorlagen für Frühwarnung und Detailmeldung, ein definierter Eingangskanal für Hinweise, ein Probelauf. Das sind wenige Personentage, keine Compliance-Abteilung. Die vollständige Anleitung mit Fristen-Tabelle und Checkliste steht im Leitfaden zur EU CRA Meldepflicht.
3. Dokumentieren Sie Ihre Größenklasse und beobachten Sie die Schwelle. Halten Sie fest, auf welcher Basis Sie sich als Kleinst- oder Kleinunternehmen einstufen, und prüfen Sie das bei jedem Wachstumsschritt. Die Einstufung entscheidet nicht über Ihre Pflichten, aber über Ihr Restrisiko, und sie veraltet schneller, als Finanzierungsrunden dauern.
Was bedeutet das für Ihre EU-CRA-Roadmap?
Seit dem 11. September 2026 gelten die Meldepflichten nach Artikel 14 EU CRA, auch für die kleinsten Hersteller. Ab dem 11. Dezember 2027 folgt die volle Anwendbarkeit des EU CRA mit Konformitätsbewertung und CE-Kennzeichnung, und dort gibt es keine vergleichbare Größenausnahme. Wer jetzt den schlanken Meldeprozess baut, hat den Grundstein für 2027 gelegt. Die Gesamtplanung zeigt die CRA-Roadmap 2026/2027, die Sanktionslogik der Beitrag zu Bußgeldern und Sanktionen. Was der EU CRA für kleine und mittlere Hersteller darüber hinaus bedeutet, bündelt die Übersicht EU CRA für KMU.
Häufig gestellte Fragen
Wir sind 8 Leute. Müssen wir wirklich melden? Ja. Die Meldepflicht nach Artikel 14 EU CRA gilt unabhängig von der Unternehmensgröße. Die Größenklasse beeinflusst nur das Bußgeldrisiko bei der verpassten 24-Stunden-Frühwarnung, nicht den Bestand der Pflicht.
Zählt die Ausnahme pro Unternehmen oder pro Konzern? Maßgeblich sind die KMU-Kriterien der EU-Empfehlung 2003/361/EG, und die rechnen verbundene Unternehmen mit. Ein kleines Tochterunternehmen eines großen Konzerns fällt in der Regel nicht unter die Erleichterung. Im Zweifel gehört diese Frage zu Ihrem Anwalt.
Gilt die Erleichterung auch für die Meldung schwerwiegender Vorfälle? Sie erfasst die 24-Stunden-Frühwarnstufe beider Meldearten (Artikel 14 Absatz 2 Buchstabe a und Absatz 4 Buchstabe a EU CRA), nicht aber die jeweiligen 72-Stunden-Meldungen und Abschlussberichte.
Was passiert, wenn wir während eines laufenden Falls über die Schwelle wachsen? Die Einstufung ist keine Tagesmomentaufnahme, sondern folgt den KMU-Kriterien mit ihren Referenzzeiträumen. Verlassen Sie sich nicht auf Grenzfälle: Wer nahe an der Schwelle ist, sollte so arbeiten, als läge er darüber.
Fazit
Die Startup-Erleichterung im EU CRA ist real, aber klein: kein Bußgeld für die verpasste Frühwarnung, mehr nicht. Wer daraus „wir sind ausgenommen" macht, verwechselt einen Airbag mit einer Fahrerlaubnis. Die gute Nachricht bleibt: Für kleine Teams ist Artikel 14 der beherrschbarste Teil des EU CRA, wenn man ihn schlank aufsetzt.
Genau dafür gibt es unser Startup-Programm mit Sonderkonditionen für Unternehmen unter 50 Mitarbeitern: Meldeprozess, Fristen-Tracking und Dokumentation aus einer Hand, bevor der erste Ernstfall aus der Theorie in die Praxis kippt. Den Einstieg bietet das kostenlose CRA-Assessment. Und nächste Woche treffen Sie uns persönlich auf der Bits & Pretzels in München.
Jeden Freitag räume ich hier mit einem CRA-Mythos auf.