Erste Meldepflichten starten ab 11. September 2026
Der Cyber Resilience Act wird konkret: Ab morgen müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle fristgerecht melden.
Der Cyber Resilience Act der EU soll für bessere Cybersicherheit bei Produkten mit digitalen Elementen sorgen.
Shutterstock/TÜV Rheinland
Für Hersteller von Produkten mit digitalen Elementen beginnt eine neue Phase bei der Umsetzung des Cyber Resilience Act (CRA). Ab dem 11. September 2026 müssen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle fristgerecht über die zentrale EU-Meldeplattform melden. Betroffen sein können unter anderem vernetzte Haushaltsgeräte, industrielle Steuerungen, Router oder Softwarelösungen. „Für viele Unternehmen ist das der erste konkrete Stresstest ihrer CRA-Readiness“, erklärt Stefan Eigler, Experte für Cybersicherheit und Segment Manager „Mastering Risk & Compliance“ bei TÜV Rheinland.
CRA-Meldepflichten setzen enge Fristen
Wird eine Schwachstelle in einem eigenen Produkt aktiv ausgenutzt und erfährt der Hersteller davon, greifen konkrete Fristen. Innerhalb von 24 Stunden muss eine Frühwarnung erfolgen. Innerhalb von 72 Stunden ist eine ergänzende Meldung erforderlich. Ein Abschlussbericht muss spätestens 14 Tage nach einer Abhilfe- oder Risikominderungsmaßnahme vorliegen.
Auch schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken, sind meldepflichtig. Hier sieht der Cyber Resilience Act ebenfalls eine Frühwarnung innerhalb von 24 Stunden sowie eine Vorfallmeldung innerhalb von 72 Stunden vor. Der Abschlussbericht ist spätestens einen Monat nach der Vorfallmeldung einzureichen.
Wann ist eine Schwachstelle meldepflichtig?
Nicht jede entdeckte Sicherheitslücke führt automatisch zu einer Meldung nach dem Cyber Resilience Act. Maßgeblich ist bei einer Schwachstelle, ob eine aktive Ausnutzung bekannt ist. „Ein Eintrag in der Schwachstellendatenbank Common Vulnerabilities and Exposures – CVE – oder das Ergebnis eines Penetrationstests allein begründen noch keine Meldepflicht. Entscheidend ist bei einer Schwachstelle, ob eine aktive Ausnutzung bekannt ist“, so Regulierungsexperte Eigler.
Nach Angaben von TÜV Rheinland bestehen bei Unternehmen teilweise noch falsche Annahmen über den Start und den Umfang der Meldepflichten. „Einige nehmen immer noch an, dass die Meldepflicht erst ab Dezember 2027 gilt und nicht schon ab dem 11. September 2026. Auch die Annahme, nur Hersteller wichtiger oder kritischer Produkte seien betroffen, ist falsch“, macht Eigler deutlich.
Cyber Resilience Act erfassst Hard- und Software
Die Meldepflicht gilt grundsätzlich für Hersteller aller Produkte mit digitalen Elementen, die in den Anwendungsbereich des CRA fallen. Erfasst werden zudem entsprechende Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Der Cyber Resilience Act der Europäischen Union ist am 10. Dezember 2024 in Kraft getreten. Die Verordnung soll die Cybersicherheit von Produkten mit digitalen Elementen über ihren gesamten Lebenszyklus hinweg erhöhen. Grundsätzlich erfasst der CRA Hardware- und Softwareprodukte, die unmittelbar oder mittelbar mit einem Gerät oder Netz verbunden sind.
Dazu können Software, vernetzte Geräte, Maschinen mit vernetzter Steuerung, Industrie-4.0-Komponenten, Netzwerkkomponenten und Embedded Systems gehören. Entscheidend bleibt die Prüfung des jeweiligen Produkts und möglicher gesetzlicher Ausnahmen.
Welche Hersteller sind betroffen?
Die Anforderungen beschränken sich nicht auf Unternehmen mit Sitz in der Europäischen Union. Auch Hersteller außerhalb der EU müssen sie beachten, wenn sie erfasste Produkte auf dem EU-Markt bereitstellen. Damit rücken für betroffene Unternehmen insbesondere die internen Abläufe für den Umgang mit Schwachstellen und Sicherheitsvorfällen in den Fokus. TÜV Rheinland unterstützt nach eigenen Angaben Hersteller dabei, ihren Handlungsbedarf zu bewerten, CRA-Anforderungen einzuordnen sowie bestehende Prozesse zu überprüfen.
Dazu gehört auch der Aufbau von Melde- und Incident-Response-Prozessen. Unternehmen sollten sicherstellen, dass sie Schwachstellen und Sicherheitsvorfälle erkennen und bewerten sowie bei Bedarf innerhalb der vorgesehenen Fristen melden können.
Wie lässt sich die CRA-Readiness vorbereiten?
Für die Umsetzung nennt TÜV Rheinland unter anderem klar definierte Verantwortlichkeiten, dokumentierte Entscheidungs- und Meldewege sowie kurzfristig verfügbare technische Informationen. Vorbereitet werden muss außerdem die unverzügliche Information betroffener Nutzerinnen und Nutzer über Vorfälle sowie notwendige Korrektur- oder Risikominderungsmaßnahmen.
Damit werden die Meldepflichten ab 11. September 2026 zu einem konkreten Umsetzungsschritt des Cyber Resilience Act. Für Hersteller von Produkten mit digitalen Elementen kommt es insbesondere darauf an, entsprechende Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen rechtzeitig zu erkennen und die vorgesehenen Meldeprozesse einzuhalten.
Was Sie zum Thema Cyber Resilience Act wissen müssen
• Wann gelten die Meldepflichten des Cyber Resilience Act?
Die ersten Meldepflichten gelten ab dem 11. September 2026.
• Welche Fristen sieht der Cyber Resilience Act vor?
Bei aktiv ausgenutzten Schwachstellen ist eine Frühwarnung innerhalb von 24 Stunden und eine ergänzende Meldung innerhalb von 72 Stunden vorgesehen.
• Welche Schwachstellen sind nach dem Cyber Resilience Act meldepflichtig?
Entscheidend ist, ob bei einer Schwachstelle eine aktive Ausnutzung bekannt ist. Ein CVE-Eintrag oder ein Penetrationstest allein lösen keine Meldepflicht aus.
• Welche Produkte betrifft der Cyber Resilience Act?
Erfasst werden grundsätzlich Hardware- und Softwareprodukte mit digitalen Elementen, die unmittelbar oder mittelbar mit einem Gerät oder Netz verbunden sind.
• Betrifft der Cyber Resilience Act auch Hersteller außerhalb der EU?
Ja. Auch Hersteller mit Sitz außerhalb der EU müssen die Anforderungen beachten, wenn sie erfasste Produkte auf dem EU-Markt bereitstellen.
