Cyber Resilience Act: Welche Unternehmen seit 11. September 2026 Sicherheitsvorfälle melden müssen
Seit dem 11. September 2026 gelten erstmals konkrete Pflichten aus dem europäischen Cyber Resilience Act (CRA): Hersteller bestimmter Software- und Hardwareprodukte müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb kurzer Fristen melden. Das ist vor allem deshalb relevant, weil die meisten übrigen Pflichten des CRA erst ab Dezember 2027 gelten. Unternehmen sollten daher nicht davon ausgehen, dass sie sich mit dem CRA erst im kommenden Jahr beschäftigen müssen.
Kurz eingeordnet
ca. 6 Minuten
Kurzantwort
Betroffen sind Hersteller von sogenannten „Produkten mit digitalen Elementen“. Dazu gehören grundsätzlich Software- und Hardwareprodukte sowie bestimmte separat vermarktete Software- oder Hardwarekomponenten.
Erhält ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall, beginnt ein gestuftes Meldeverfahren:
erste Meldung grundsätzlich innerhalb von 24 Stunden,
ergänzende Meldung grundsätzlich innerhalb von 72 Stunden,
anschließend ein Abschlussbericht.
Die Meldung erfolgt über die seit dem 11. September 2026 operative zentrale Meldeplattform der europäischen Cybersicherheitsagentur ENISA.
1. Welche Unternehmen können betroffen sein?
Der CRA erfasst sogenannte „Produkte mit digitalen Elementen“. Darunter versteht die Verordnung grundsätzlich Software- oder Hardwareprodukte einschließlich bestimmter digitaler Komponenten.
Das betrifft daher nicht nur Hersteller klassischer IT-Hardware.
In Betracht kommen beispielsweise Unternehmen, die
eigene Software oder Apps entwickeln und unter eigenem Namen anbieten,
vernetzte Geräte oder IoT-Produkte vertreiben,
Software- oder Hardwarekomponenten separat auf den Markt bringen oder
Produkte anbieten, deren Funktion auf einer vom Hersteller verantworteten Datenfernverarbeitung beruht.
Als Hersteller gilt dabei grundsätzlich auch ein Unternehmen, das ein Produkt entwickeln oder herstellen lässt und es anschließend unter eigenem Namen oder eigener Marke vermarktet.
Nicht jeder digitale Dienst fällt allerdings automatisch unter den CRA. Bei reinen Cloud- oder sonstigen Online-Diensten ist im Einzelfall zu prüfen, ob sie Bestandteil eines „Produkts mit digitalen Elementen“ im Sinne der Verordnung sind.
2. Nicht jede Schwachstelle muss gemeldet werden
Die neue Meldepflicht gilt nicht bereits deshalb, weil in einer Software oder einem Gerät eine Sicherheitslücke gefunden wird.
Meldepflichtig ist eine aktiv ausgenutzte Schwachstelle.
Darunter versteht der CRA eine Schwachstelle, bei der verlässliche Nachweise dafür bestehen, dass ein böswilliger Akteur sie tatsächlich ohne Zustimmung des Systemeigentümers ausgenutzt hat.
Die Unterscheidung ist praktisch wichtig:
Eine theoretisch ausnutzbare oder lediglich intern entdeckte Schwachstelle löst nicht automatisch die Meldepflicht nach Art. 14 CRA aus.
Sobald allerdings belastbare Hinweise auf eine tatsächliche Ausnutzung bestehen, können die kurzen Meldefristen beginnen.
3. Wann ist ein Sicherheitsvorfall „schwerwiegend“?
Neben aktiv ausgenutzten Schwachstellen müssen Hersteller auch schwerwiegende Sicherheitsvorfälle melden, die sich auf die Sicherheit eines Produkts mit digitalen Elementen auswirken.
Ein solcher Vorfall ist nach dem CRA insbesondere dann schwerwiegend, wenn er
die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen beeinträchtigt oder beeinträchtigen kann oder
zur Einführung oder Ausführung von Schadcode im Produkt oder im Netzwerk eines Nutzers geführt hat oder führen kann.
Auch hier gilt also keine pauschale Meldepflicht für jedes technische Problem.
Unternehmen benötigen vielmehr einen Prozess, mit dem Sicherheitsvorfälle kurzfristig daraufhin bewertet werden können, ob die gesetzlichen Schwellenwerte erreicht sind.
4. Welche Fristen gelten?
Der CRA sieht ein gestuftes Meldeverfahren vor.
Innerhalb von 24 Stunden
Nach Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls muss grundsätzlich zunächst eine Frühwarnung erfolgen.
Dabei müssen noch nicht sämtliche technischen Einzelheiten bekannt sein.
Innerhalb von 72 Stunden
Spätestens innerhalb von 72 Stunden folgt eine weitergehende Meldung.
Bei einer Schwachstelle sind beispielsweise Informationen über das betroffene Produkt, die Art der Schwachstelle und bereits ergriffene Korrekturmaßnahmen mitzuteilen.
Bei einem Sicherheitsvorfall sind insbesondere dessen Art, eine erste Bewertung sowie bereits ergriffene Gegenmaßnahmen anzugeben.
Abschlussbericht
Danach unterscheiden sich die Fristen:
Bei einer aktiv ausgenutzten Schwachstelle ist grundsätzlich spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme ein Abschlussbericht einzureichen.
Bei einem schwerwiegenden Sicherheitsvorfall ist der Abschlussbericht grundsätzlich innerhalb eines Monats nach der 72-Stunden-Meldung erforderlich.
5. Wo wird gemeldet?
Die Meldungen erfolgen über die von ENISA eingerichtete Single Reporting Platform (SRP).
Die Plattform ist seit dem 11. September 2026 operativ und soll verhindern, dass Hersteller denselben Vorfall separat an mehrere europäische Stellen melden müssen.
Die Meldung wird grundsätzlich an das als Koordinator bestimmte nationale CSIRT gerichtet, das sich regelmäßig nach dem Hauptniederlassungsort des Herstellers bestimmt. Die Informationen werden zugleich über die Plattform den vorgesehenen europäischen Stellen zugänglich gemacht.
Für Unternehmen ist deshalb sinnvoll, bereits vor einem Sicherheitsvorfall zu klären,
ob eigene Produkte unter den CRA fallen,
wer intern für eine Meldung verantwortlich ist,
welche organisatorischen Voraussetzungen für die Nutzung der Plattform bestehen und
wie technische Informationen innerhalb der 24- und 72-Stunden-Fristen zusammengetragen werden.
CERON PRAXIS
CRA-Meldecheck
Prüfpunkte 1–3
1. Welche unserer Produkte fallen überhaupt unter den Cyber Resilience Act? 2. Wer gilt für diese Produkte rechtlich als Hersteller? 3. Wie erkennen wir, ob eine Schwachstelle tatsächlich aktiv ausgenutzt wird?
Prüfpunkte 4–6
4. Wer entscheidet intern, ob ein Sicherheitsvorfall die Meldeschwelle erreicht? 5. Wer kann innerhalb von 24 Stunden eine Meldung über die ENISA-Plattform veranlassen? 6. Wie werden Legal, IT/Security, Produktentwicklung und Geschäftsleitung bei einem Vorfall zusammengeführt?
Gerade die letzte Frage ist entscheidend: Bei einer gesetzlichen 24-Stunden-Frist ist ein Meldeprozess, der erst nach einem Vorfall organisiert wird, regelmäßig zu langsam.
6. Die Pflichten gelten auch für bereits bestehende Produkte
Ein besonders wichtiger Punkt wird leicht übersehen:
Die Meldepflichten gelten nicht nur für Produkte, die nach dem 11. September 2026 neu auf den Markt gebracht werden.
Art. 14 CRA gilt auch für Produkte mit digitalen Elementen, die bereits zuvor auf dem europäischen Markt bereitgestellt wurden.
Ein Softwareanbieter kann sich deshalb nicht allein darauf berufen, dass eine bestimmte Version seiner Anwendung bereits seit Jahren angeboten wird.
Was ist mit den übrigen CRA-Pflichten?
Der CRA enthält deutlich weitergehende Anforderungen an die Cybersicherheit von Produkten – unter anderem an Produktentwicklung, Schwachstellenmanagement, Sicherheitsupdates, Dokumentation und Konformitätsbewertung.
Diese Vorschriften gelten überwiegend erst ab dem 11. Dezember 2027.
Die jetzt geltenden Meldepflichten sind deshalb eine Art Vorstufe: Unternehmen müssen bereits heute auf konkrete Sicherheitsereignisse reagieren können, obwohl das vollständige CRA-Compliance-Regime erst später greift.
CERON Einordnung
Die größte praktische Herausforderung der neuen Meldepflicht dürfte für viele Unternehmen nicht die Meldung selbst sein.
Das eigentliche Problem liegt davor: Innerhalb von 24 Stunden muss überhaupt erkannt und entschieden werden können, ob ein Ereignis nach dem CRA meldepflichtig ist.
Dafür müssen technische und rechtliche Bewertung zusammenkommen.
Ein rein technischer Incident-Response-Prozess reicht deshalb nicht unbedingt aus. Unternehmen, die eigene Software oder vernetzte Produkte anbieten, sollten zumindest festlegen,
welche Produkte vom CRA erfasst sind, wer einen möglichen Meldefall eskaliert und wer innerhalb der kurzen gesetzlichen Fristen über eine Meldung entscheidet.
Wer mit dieser Zuständigkeitsklärung erst beginnt, nachdem eine aktiv ausgenutzte Schwachstelle entdeckt wurde, verliert einen wesentlichen Teil der verfügbaren 24 Stunden.
Dr. Conrad Schulte-Wintrop,
Rechtsanwalt
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Prüfung des konkreten Einzelfalls.