Hersteller sind seit dem 11. September 2026 dazu verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb festgelegter Fristen zu melden. Betroffen sind insbesondere Anbieter von Software, vernetzten Geräten, IoT-Produkten, Maschinen und anderen Produkten mit digitalen Elementen. Unternehmen sollten jetzt prüfen, welche ihrer Produkte unter den CRA fallen, wer für die Meldungen verantwortlich ist und ob ihre Prozesse für das Schwachstellenmanagement, die Incident Response und die Dokumentation die Anforderungen erfüllen. Die weiteren wesentlichen Vorgaben des CRA gelten ab dem 11. Dezember 2027.
Der CRA gilt für viele Produkte mit digitalen Elementen, die auf dem europäischen Markt bereitgestellt werden. Dazu gehören je nach Ausgestaltung beispielsweise:
- Softwareprodukte
- vernetzte Maschinen
- IoT-Geräte
- Steuerungs- und Automatisierungssysteme
- andere digital unterstützte Produkte
Die Verordnung betrifft somit nicht nur klassische Softwarehäuser. Auch Maschinenbauer, Industrieunternehmen und Anbieter vernetzter Lösungen können davon betroffen sein. Während die wesentlichen CRA-Anforderungen erst ab dem 11. Dezember 2027 vollständig gelten, greifen die Meldepflichten bereits seit dem 11. September 2026.
Welche Meldepflichten gelten bereits?
Hersteller sind gesetzlich dazu verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle über die von der ENISA eingerichtete zentrale Meldeplattform zu melden. Dafür gelten enge Fristen. So muss innerhalb von 24 Stunden eine erste Frühwarnung erfolgen, gefolgt von einer ausführlicheren Meldung innerhalb von 72 Stunden. Im Falle aktiv ausgenutzter Schwachstellen muss spätestens 14 Tage nach Bereitstellung einer Korrektur- oder Minderungsmaßnahme ein Abschlussbericht eingereicht werden. Bei schwerwiegenden Sicherheitsvorfällen ist der Abschlussbericht grundsätzlich innerhalb eines Monats nach der 72-Stunden-Meldung zu übermitteln. Die erfolgreiche Einhaltung dieser strikten Fristen setzt voraus, dass die internen Zuständigkeiten und Entscheidungswege sowie alle benötigten Informationen bereits vor dem Eintritt eines Vorfalls lückenlos geklärt sind.
Wo entsteht konkreter Handlungsbedarf?
Die Herausforderung liegt nicht allein in der Technik. Unternehmen müssen Entwicklung, IT-Security, Produktmanagement, Compliance und Unternehmensleitung organisatorisch miteinander verbinden. Im Ernstfall muss klar sein:
- Wer erkennt und bewertet eine Schwachstelle?
- Wer entscheidet, ob eine Meldung erforderlich ist?
- Wer stellt die benötigten Informationen zusammen?
- Wer gibt die Meldung frei und reicht sie ein?
- Wie werden Maßnahmen und Entscheidungen dokumentiert?
Fehlen eindeutige Verantwortlichkeiten, können die kurzen Meldefristen schnell zum Risiko werden. Darüber hinaus verlangt der CRA, dass Cybersicherheit über den gesamten Produktlebenszyklus hinweg berücksichtigt wird. Dazu gehören eine sichere Produktentwicklung, ein Schwachstellenmanagement, Sicherheitsupdates, eine Dokumentation und klar definierte Supportzeiträume.
Was solltest du jetzt tun?
Der erste Schritt sollte keine groß angelegte Compliance-Initiative sein. Sinnvoller ist eine strukturierte Bestandsaufnahme. Dabei sollten Unternehmen sieben Punkte prüfen:
- Betroffenheit klären: Welche Produkte fallen voraussichtlich unter den CRA und welche Rolle hat das Unternehmen jeweils?
- Produkte und Abhängigkeiten erfassen: Welche Softwarekomponenten, Bibliotheken, Schnittstellen und externen Dienste werden verwendet?
- Schwachstellenmanagement bewerten: Wie werden Sicherheitslücken erkannt, priorisiert, behoben und dokumentiert?
- Meldeprozess festlegen: Wer übernimmt innerhalb der 24- und 72-Stunden-Fristen welche Aufgabe?
- Security by Design verankern: Werden Sicherheitsanforderungen bereits bei Architektur, Entwicklung und Tests berücksichtigt?
- Dokumentation vorbereiten: Sind Risikobewertungen, Sicherheitsentscheidungen und Maßnahmen nachvollziehbar dokumentiert?
- Support und Updates organisieren: Sind Verantwortlichkeiten und Zeiträume für Sicherheitsupdates eindeutig definiert?
Bestehende Entwicklungs-, Security- und Incident-Prozesse können dabei genutzt und gezielt erweitert werden. Nicht jedes Unternehmen muss bei null beginnen.
Warum Unternehmen nicht bis Ende 2027 warten sollten
Die Meldepflichten gelten bereits. Zudem benötigen funktionierende Prozesse für das Schwachstellenmanagement, die sichere Entwicklung und die Incident Response ausreichend Vorlaufzeit. Wer erst kurz vor Dezember 2027 beginnt, muss unter Umständen technische Prozesse, Dokumentation und Verantwortlichkeiten gleichzeitig verändern. Das erhöht die Kosten, die Projektkomplexität und die operativen Risiken.
Ein schrittweises Vorgehen ist besser planbar: Zunächst sollten die Betroffenheit und die Risiken geklärt werden, anschließend können die Lücken priorisiert und die notwendigen Maßnahmen umgesetzt werden. Mit dem Cyber Resilience Act wird Cybersicherheit zu einer verbindlichen Aufgabe über den gesamten Produktlebenszyklus hinweg. Betroffene Unternehmen müssen mit zusätzlichem Aufwand und neuen organisatorischen Pflichten rechnen. Jetzt ist eine belastbare Bestandsaufnahme entscheidend:
- Welche Produkte sind betroffen?
- Welche Anforderungen werden bereits erfüllt?
- Wo bestehen konkrete Lücken?
- Welche Maßnahmen haben aufgrund von Risiko und Dringlichkeit Priorität?
Aus unserer Sicht sollten betroffene Unternehmen daher jetzt handeln. Die Meldepflichten gelten bereits und für die vollständige Umsetzung bis Dezember 2027 ist Vorlaufzeit erforderlich. Eine strukturierte Bestandsaufnahme zeigt, welche Produkte betroffen sind, wo Lücken bestehen und welche Maßnahmen nach Risiko und Dringlichkeit priorisiert werden müssen.
Häufige Fragen zum Cyber Resilience Act
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung zur Cybersicherheit von Produkten mit digitalen Elementen. Er definiert verbindliche Sicherheitsanforderungen für zahlreiche Hard- und Softwareprodukte und betrachtet dabei den gesamten Produktlebenszyklus.
Welche Unternehmen sind vom Cyber Resilience Act betroffen?
Betroffen sind insbesondere Hersteller, Importeure und Händler von Produkten mit digitalen Elementen. Für Unternehmen ist eine Prüfung beispielsweise dann relevant, wenn sie Software, IoT-Produkte, vernetzte Maschinen oder andere digitale Produkte entwickeln oder auf dem europäischen Markt bereitstellen.
Welche CRA-Regeln gelten seit September 2026?
Seit dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act. Hersteller müssen bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Für die erste Meldung gilt grundsätzlich eine Frist von 24 Stunden nach Bekanntwerden.
Was bedeutet die 24-Stunden-Frist beim CRA?
Bei einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall ist innerhalb von 24 Stunden grundsätzlich eine Frühwarnung erforderlich. Danach folgen weitere Informationen bzw. Meldungen innerhalb der jeweils vorgesehenen Fristen. Unternehmen benötigen deshalb klar definierte interne Melde- und Eskalationswege
Wann gilt der Cyber Resilience Act vollständig?
Die wesentlichen Anforderungen des CRA werden ab dem 11. Dezember 2027 vollständig anwendbar. Einzelne Vorschriften gelten jedoch bereits früher. Dazu gehören insbesondere die seit dem 11. September 2026 geltenden Meldepflichten.
Was sollten Unternehmen jetzt für den CRA vorbereiten?
Unternehmen sollten zunächst prüfen, welche ihrer Produkte und Unternehmensrollen unter den CRA fallen. Anschließend sollten sie insbesondere die Bereiche Risikomanagement, Security by Design, Schwachstellenmanagement, Sicherheitsupdates, Dokumentation sowie interne Melde- und Eskalationsprozesse betrachten.
Warum ist der Cyber Resilience Act für den Mittelstand relevant?
Mittelständische Unternehmen entwickeln häufig eigene Software oder integrieren digitale Komponenten in Maschinen und andere Produkte. Dadurch können auch Unternehmen, die sich selbst nicht primär als Softwareanbieter verstehen, vom CRA betroffen sein. Eine frühzeitige Analyse ermöglicht es, notwendige Änderungen schrittweise umzusetzen.
