Cyber Resilience Act: Meldepflicht für Hersteller seit 11.09.2026

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist das erste EU-weite Gesetz mit verbindlichen Cybersicherheitsanforderungen für Produkte. Er gilt für Hardware und Software mit digitalen Elementen, die mit einem Netzwerk oder einem anderen Gerät verbunden werden können – vom Router über die Industriesteuerung bis zur App.

Was müssen Hersteller seit dem 11.09.2026 melden?

Hersteller müssen zwei Arten von Ereignissen melden:

• aktiv ausgenutzte Schwachstellen in ihren Produkten,
• schwere Sicherheitsvorfälle, die die Sicherheit des Produkts beeinträchtigen.

Die Pflicht gilt auch für Produkte, die vor dem 11.09.2026 in Verkehr gebracht wurden, und für Hersteller außerhalb der EU, deren Produkte auf dem EU-Markt erhältlich sind.

Was gilt ab dem 11.12.2027?

Ab diesem Tag müssen alle neu in Verkehr gebrachten Produkte die wesentlichen Anforderungen des CRA erfüllen, um das CE-Kennzeichen zu tragen. Dazu gehören:

• Security by Design und sichere Standardeinstellungen,
• Sicherheitsupdates über einen festgelegten Supportzeitraum,
• eine Software-Stückliste (SBOM),
• ein Prozess zum Umgang mit Schwachstellen,
• eine Konformitätsbewertung – für kritische Produkte durch eine benannte Stelle.

Wie bauen Hersteller einen Meldeprozess auf?

Ein funktionierender Meldeprozess braucht vier Bausteine:

1. Eingangskanal für Schwachstellenhinweise, etwa eine security.txt und ein Kontaktformular.
2. Bewertung innerhalb weniger Stunden: Ist die Schwachstelle aktiv ausgenutzt?
3. Meldeteam mit Vertretung, das die 24-Stunden-Frist auch am Wochenende einhält.
4. Produktinventar mit Versionen und Komponenten, um Betroffenheit schnell festzustellen.

Wer zugleich unter NIS2 fällt, braucht zwei Meldewege: ENISA-Plattform für Produktschwachstellen, BSI-Portal für Vorfälle im eigenen Betrieb.