Cyber Resilience Act

Banner bilder blockbeiträge unten cta (2)

Published On: 23 September, 2026

4,7 min read

Andere Beiträge

Digitale Personalaktenpflicht 2027

Die Meldefähigkeit muss jetzt stehen

Seit dem 11. September 2026 müssen Hersteller bestimmter vernetzter Hard- und Softwareprodukte zwei Arten von Sicherheitsereignissen nach dem Cyber Resilience Act, kurz CRA, melden: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle mit Auswirkungen auf die Produktsicherheit.

Die Uhr läuft ab dem Zeitpunkt, an dem der Hersteller Kenntnis erlangt. Innerhalb von 24 Stunden ist eine Frühwarnung fällig, innerhalb von 72 Stunden eine ausführlichere Meldung. Für mittelständische Anbieter ist deshalb nicht nur technische Erkennung entscheidend. Sie brauchen einen belastbaren Weg von der ersten Beobachtung bis zur fristgerechten Meldung.

Kernaussage

Die Meldepflichten gelten bereits

Die vollständigen CRA-Anforderungen gelten überwiegend ab 11. Dezember 2027. Die Meldepflichten aus Artikel 14 gelten jedoch bereits seit 11. September 2026. Sie erfassen auch Produkte im CRA-Anwendungsbereich, die schon vor dem allgemeinen Geltungsbeginn auf dem EU-Markt bereitgestellt wurden.

Wer betroffen ist

Wer von der CRA-Meldepflicht betroffen ist

Der CRA gilt grundsätzlich für Produkte mit digitalen Elementen, deren vorgesehene oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk umfasst. Dazu können eigenständige Software, vernetzte Geräte und separat vermarktete Software- oder Hardwarekomponenten zählen.

Adressat der Meldepflicht ist der Hersteller. Das ist nicht nur, wer selbst fertigt oder programmiert. Als Hersteller gilt auch, wer ein Produkt entwickeln oder herstellen lässt und es unter eigenem Namen oder eigener Marke vermarktet. Ob ein Unternehmen betroffen ist, hängt deshalb von Produkt, Vermarktung und Rolle in der Lieferkette ab.

Typischerweise betroffen

Anbieter kommerzieller Software, Hersteller vernetzter Geräte und Unternehmen mit digitalen Produkten unter eigener Marke.

Im Einzelfall prüfen

OEM- und White-Label-Modelle, Komponenten, eingebettete Software sowie Produkte mit zugehöriger Fernverarbeitung.

Nicht pauschal ableiten

Der reine Einsatz fremder Standardsoftware macht ein Unternehmen nicht automatisch zum Hersteller dieses Produkts.

Fristen im Überblick

Was seit dem 11. September 2026 gilt

Die Meldepflichten starten gestaffelt. Für Hersteller sind insbesondere die 24- und 72-Stunden-Fristen relevant.

10. Dezember 2024

Inkrafttreten des CRA

Die Verordnung ist in Kraft, ihre Pflichten starten jedoch gestaffelt.

11. September 2026

Start der Hersteller-Meldepflichten

Artikel 14 und die CRA Single Reporting Platform werden praktisch relevant.

11. Dezember 2027

Allgemeine Anwendung

Die meisten übrigen CRA-Pflichten gelten; ab diesem Tag greifen auch die entsprechenden Meldepflichten für Open-Source-Software-Stewards.

CRA-Meldepflichten: Diese Fristen gelten

24 h

Frühwarnung

Unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Sie enthält die zu diesem Zeitpunkt verfügbaren Basisinformationen.

72 h

Hauptmeldung

Unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnis. Gefordert sind verfügbare allgemeine Informationen, eine erste Bewertung sowie ergriffene oder mögliche Korrektur- und Minderungsmaßnahmen.

14 Tage

Abschlussbericht bei Schwachstellen

Der Abschlussbericht ist spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme einzureichen.

1 Monat

Abschlussbericht bei Vorfällen

Der Abschlussbericht ist innerhalb eines Monats nach der 72-Stunden-Meldung einzureichen.

Verbindliche Pflicht

Meldepflichtig sind nicht alle Schwachstellen und nicht jeder IT-Vorfall. Bei Schwachstellen verlangt Artikel 14 eine aktiv ausgenutzte Schwachstelle. Ein schwerwiegender Vorfall muss die Sicherheit des Produkts erheblich berühren. Die genaue Bewertung ist zu dokumentieren.

Rollen und Meldeweg

Rollen und Meldeweg klar festlegen

Die Meldung erfolgt einmalig über die von ENISA betriebene CRA Single Reporting Platform. Das Unternehmen wählt dort das zuständige, als Koordinator benannte CSIRT. Im Regelfall richtet sich die Zuständigkeit nach der Hauptniederlassung in der EU.

01

Signal erfassen

Fund aus Monitoring, Support, Forschung oder Lieferkette zentral aufnehmen.

02

Kenntniszeitpunkt sichern

Zeitpunkt, Quelle, Produktversion und verfügbare Belege dokumentieren.

03

CRA-Relevanz bewerten

Aktive Ausnutzung oder Schwere prüfen und Entscheidung begründen.

04

24-Stunden-Warnung senden

Mit dem verfügbaren Wissensstand über die SRP melden.

05

Analyse vertiefen

Auswirkung, Produkte, Maßnahmen und Nutzerhinweise konsolidieren.

06

72-Stunden- und Abschlussmeldung

Meldung aktualisieren, Maßnahmen nachhalten und Abschluss dokumentieren.

Verantwortlichkeiten

Verantwortungsmatrix für den Mittelstand

Damit die Meldefristen eingehalten werden können, sollten Aufgaben und Stellvertretungen bereits vor einem Vorfall eindeutig festgelegt sein.

Product Security / IT-Security

Kernaufgabe: Technische Einordnung, Beweissicherung und erste Schwerebewertung.

Vorab festlegen: Bewertungskriterien, Bereitschaft und Stellvertretung.

Produktverantwortung / Entwicklung

Kernaufgabe: Betroffene Versionen, Reichweite und Korrekturmaßnahme klären.

Vorab festlegen: Produktinventar, Supportzeiträume und Komponentenübersicht.

Recht / Compliance

Kernaufgabe: Rolle, Anwendungsbereich, Meldeschwelle und Parallelpflichten prüfen.

Vorab festlegen: Eskalationsweg und externe Beratung.

Geschäftsführung

Kernaufgabe: Entscheidungen mit hoher Tragweite und Ressourcen absichern.

Vorab festlegen: Freigaberegeln ohne Fristverlust.

Kommunikation / Support

Kernaufgabe: Nutzerinformation koordinieren, sofern Maßnahmen erforderlich sind.

Vorab festlegen: Freigegebene Textbausteine und Kontaktkanäle.

SRP-Verantwortung

Kernaufgabe: Plattformzugang, richtige CSIRT-Auswahl und fristgerechte Abgabe.

Vorab festlegen: EU Login, Assigned Representatives und Vertretungsregel.

Vorbereitung

In sieben Schritten meldefähig werden

Die folgenden Maßnahmen sind organisatorische Empfehlungen. Sie ersetzen weder die Prüfung des konkreten Produkts noch die verbindlichen Vorgaben des CRA.

Produktportfolio abgrenzen – Produkte mit digitalen Elementen, Varianten, Komponenten und zugehörige Fernverarbeitung erfassen.
Herstellerrolle prüfen – Eigenentwicklung, Auftragsentwicklung, OEM, White Label und Vertrieb unter eigener Marke getrennt bewerten.
Produkt-Sicherheitskontakt bündeln – Eingehende Hinweise aus Support, Entwicklung, CERT-Kanälen und Lieferkette an einer Stelle zusammenführen.
Kenntniszeitpunkt protokollieren – Ereignisse mit Zeitstempel, Quelle, Faktenstand und verantwortlicher Person nachvollziehbar dokumentieren.
Meldekriterien operationalisieren – Entscheidungshilfe für aktive Ausnutzung und schwerwiegende Vorfälle erstellen; Zweifelsfälle sofort eskalieren.
SRP-Zugang vorbereiten – EU Login, Assigned Representatives, zuständiges CSIRT und Vertretungen prüfen; den Ablauf praktisch testen.
Trockenübung durchführen – 24- und 72-Stunden-Ablauf mit realistischen Informationslücken proben und Nachweise revisionsfest ablegen.

Fazit

Meldewege sind jetzt Teil der Produktsicherheit

Der CRA macht Reaktionsfähigkeit messbar. Wer erst beim Vorfall über Zuständigkeit, Kenntniszeitpunkt und Plattformzugang spricht, verliert wertvolle Stunden. Hersteller sollten deshalb Produktinventar, Entscheidungskriterien und Verantwortungen jetzt zusammenführen und in einer Übung erproben.

Entscheidend ist die saubere Trennung: Ob ein Ereignis meldepflichtig ist, folgt aus dem CRA und der konkreten Bewertung. Wie schnell das Unternehmen zu einer belastbaren Entscheidung kommt, ist eine Frage der Vorbereitung.