SECURITY NEWS · COMPLIANCE
Der Cyber Resilience Act galt lange als Zukunftsthema mit Frist 2027.
Das stimmt nur zur Hälfte: Am 11. September 2026 wird der erste Teil
scharf – die Meldepflicht für aktiv ausgenutzte Schwachstellen und
schwerwiegende Sicherheitsvorfälle. Sie trifft nicht erst die nächste
Produktgeneration, sondern das heutige Portfolio. Wer vernetzte Produkte
oder Software anbietet, braucht bis dahin einen funktionierenden
Meldeprozess.
Kurzantwort
Ab dem 11. September 2026 müssen Hersteller von Produkten mit
digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende
Sicherheitsvorfälle melden – mit einer Frühwarnung innerhalb von 24
Stunden, einer ausführlichen Meldung innerhalb von 72 Stunden und einem
Abschlussbericht. Die Pflicht aus Artikel 14 des Cyber Resilience Act
(Verordnung (EU) 2024/2847) gilt auch für Produkte, die bereits auf dem
Markt sind. Gemeldet wird an das zuständige nationale CSIRT – in
Deutschland beim BSI angesiedelt – und parallel an die EU-Agentur ENISA.
Bei Verstößen drohen Bußgelder bis 15 Millionen Euro oder 2,5 Prozent
des weltweiten Jahresumsatzes.
Was genau am 11.
September 2026 beginnt
Der Cyber Resilience Act ist seit Dezember 2024 in Kraft, entfaltet
seine Pflichten aber gestuft. Die vollständigen Herstellerpflichten –
Security by Design, CE-Kennzeichnung mit Cybersicherheitsbezug,
technische Dokumentation – gelten erst ab dem 11. Dezember 2027 und nur
für dann neu in Verkehr gebrachte Produkte.
Die Meldepflicht aus Artikel 14 kommt früher und weiter gefasst: Sie
greift ab dem 11. September 2026 und erfasst ausdrücklich auch
Bestandsprodukte. Ein Gerät, das seit Jahren verkauft wird, fällt
genauso darunter wie die aktuelle Produktlinie. Meldepflichtig sind zwei
Fälle:
- Aktiv ausgenutzte Schwachstellen in einem Produkt
mit digitalen Elementen – also Lücken, die Angreifer nachweislich
verwenden - Schwerwiegende Sicherheitsvorfälle, die sich auf
die Sicherheit des Produkts auswirken
Die
Meldekette: 24 Stunden, 72 Stunden, Abschlussbericht
Die Fristen sind knapp und beginnen mit der Kenntnisnahme –
wohlgemerkt: mit der Kenntnis irgendeines Mitarbeiters, nicht erst der
Geschäftsführung.
- Innerhalb von 24 Stunden: Frühwarnung an das
zuständige CSIRT und die ENISA - Innerhalb von 72 Stunden: ausführliche Meldung mit
weiteren Informationen, soweit verfügbar - Abschlussbericht: bei Schwachstellen spätestens 14
Tage nach Bereitstellung einer Korrekturmaßnahme, bei
Sicherheitsvorfällen spätestens einen Monat nach der
72-Stunden-Meldung
Die Meldungen laufen über eine zentrale europäische Meldeplattform
(Single Reporting Platform), die derzeit bei der ENISA im Aufbau ist.
Dass die Plattform noch nicht final steht, ändert nichts an der Pflicht
– die Prozesse im Unternehmen müssen zum Stichtag funktionieren. Für
Kleinst- und Kleinunternehmen sind bei der 24-Stunden-Frist
Erleichterungen bei den Bußgeldern vorgesehen; von der Meldepflicht
selbst entbinden sie nicht.
Wer betroffen ist – oft
mehr, als gedacht
Die Pflicht trifft Hersteller von “Produkten mit digitalen
Elementen”: Hardware mit Software, vernetzte Geräte,
Industriesteuerungen, Apps und eigenständige Software. Zwei Punkte
werden dabei regelmäßig übersehen:
Eigenmarke macht zum Hersteller. Wer ein zugekauftes
Produkt unter eigener Marke verkauft oder es wesentlich verändert,
übernimmt die Herstellerpflichten – inklusive der Meldepflicht. Das
betrifft auch Händler und Integratoren.
Zulieferkomponenten zählen mit. Steckt in einem
Produkt eine aktiv ausgenutzte Schwachstelle aus einer Fremd- oder
Open-Source-Komponente und ist sie im Produkt ausnutzbar, muss der
Hersteller des Endprodukts melden.
Ausgenommen sind Bereiche mit eigenen Regelwerken (etwa
Medizinprodukte, Fahrzeuge, zivile Luftfahrt) sowie reine, nicht
kommerzielle Open-Source-Software. Die EU-Kommission hat Ende Juli 2026
praktische Leitlinien mit Dutzenden Produktbeispielen veröffentlicht,
die die Abgrenzung erleichtern.
Was Unternehmen jetzt tun
sollten
Der Aufbau der Meldefähigkeit ist überschaubar, braucht aber Vorlauf.
Die vier Schritte bis zum 11. September:
- Produktinventar erstellen. Welche eigenen Produkte
enthalten digitale Elemente? Welche Softwarekomponenten stecken darin?
Ohne diese Übersicht lässt sich im Ernstfall weder bewerten noch
fristgerecht melden. - Meldeprozess definieren. Wer bewertet eine
Schwachstelle, wer entscheidet, wer meldet – mit Vertretungsregeln. Die
24-Stunden-Frist verzeiht keine ungeklärten Zuständigkeiten. - Interne Meldewege schärfen. Weil die Frist mit der
Kenntnis eines beliebigen Mitarbeiters beginnt, müssen alle wissen,
wohin sie einen Verdacht sofort geben. - Einmal trocken üben. Ein fiktiver Fall von der
ersten Kenntnis bis zur 24-Stunden-Meldung zeigt, ob der Prozess trägt –
bevor es zählt.
Wer diese Grundlagen jetzt schafft, hat zugleich den halben Weg zu
den 2027er-Pflichten (Schwachstellenmanagement, Dokumentation)
zurückgelegt.
Abgrenzung: CRA ist nicht
NIS2
Beide Regelwerke werden oft verwechselt: Die NIS2-Richtlinie
adressiert Organisationen und ihren Betrieb, der Cyber Resilience Act
adressiert Produkte. Ein Unternehmen kann von beidem betroffen sein –
etwa als Betreiber wichtiger Dienste und zugleich als Hersteller
vernetzter Produkte. Wie Anforderungen dabei über Kunden und
Lieferketten weitergereicht werden, zeigt unser Beitrag zur indirekten
Betroffenheit über die Lieferkette.
Wie UBESAFE unterstützt
Wir helfen beim Aufbau genau dieser Meldefähigkeit: vom Produkt- und
Komponenteninventar über den dokumentierten Meldeprozess mit klaren
Zuständigkeiten bis zur Trockenübung vor dem Stichtag – und binden das
Ganze in ein bestehendes oder neues ISMS ein, damit CRA, TISAX und ISO
27001 auf denselben Strukturen aufsetzen. Einen Überblick über Pflichten
und Fristen gibt unsere Seite zum Cyber Resilience
Act.
Häufige Fragen (FAQ)
Gilt die Meldepflicht auch für Produkte, die schon lange auf
dem Markt sind? Ja. Anders als die 2027er-Produktpflichten
erfasst die Meldepflicht ab dem 11. September 2026 ausdrücklich auch
Bestandsprodukte.
Wir sind Händler, kein Hersteller – betrifft uns
das? Möglicherweise ja: Wer Produkte unter eigener Marke
verkauft oder sie wesentlich verändert, gilt rechtlich als Hersteller
und trägt die Meldepflichten.
An wen wird gemeldet? An das zuständige nationale
CSIRT – in Deutschland beim BSI angesiedelt – und parallel an die ENISA,
künftig über die zentrale europäische Meldeplattform.
Was passiert bei Verstößen? Artikel 64 sieht
Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des weltweiten
Jahresumsatzes vor. Für Kleinst- und Kleinunternehmen gibt es bei der
24-Stunden-Frist Bußgeld-Erleichterungen.
Brauchen wir jetzt schon eine Software-Stückliste
(SBOM)? Verpflichtend wird sie mit den Produktpflichten ab
Dezember 2027. Praktisch brauchen Sie die Komponenten-Übersicht aber
schon für die Meldepflicht – ohne sie lässt sich eine Schwachstelle in
einer Zulieferkomponente weder bewerten noch sauber melden.
Fazit
Der 11. September 2026 ist die erste harte CRA-Frist – und sie
betrifft das heutige Portfolio, nicht erst künftige Produkte. Die gute
Nachricht: Die erste Welle ist inhaltlich überschaubar. Ein
Produktinventar, ein geübter Meldeprozess mit klaren Zuständigkeiten und
geschärfte interne Meldewege reichen, um den Stichtag souverän zu nehmen
– und legen zugleich das Fundament für die Vollpflichten ab Dezember
2027.
Passend dazu: Cyber Resilience Act –
Pflichten & Fristen · Internes Audit · ISB & CISO
UBESAFE bringt Unternehmen bis zum Stichtag zur Meldefähigkeit –
vom Inventar bis zur Trockenübung. Vereinbaren Sie ein kostenloses
Erstgespräch.