Ab dem 11. September greift eine zentrale Bestimmung des Cyber Resilience Act (CRA). Betroffene Unternehmen müssen aktiv ausgenutzte Schwachstellen dann in eng getakteten Fristen an die Behörden melden. Ein Leitfaden der EU-Kommission soll helfen – doch die technische Infrastruktur hinkt hinterher.
Dreistufiges Meldeverfahren unter Zeitdruck
Die neuen Regeln verlangen ein gestuftes Vorgehen: Innerhalb von 24 Stunden nach Kenntnis einer ausgenutzten Lücke ist eine Frühwarnung fällig. Nach 72 Stunden folgt eine formelle Meldung mit Details zum Vorfall. Der abschließende Bericht muss nach 14 Tagen vorliegen.
Der Geltungsbereich des CRA ist weit gefasst. Auch Cloud-Backends sind betroffen, wenn sie für die Produktfunktion essenziell sind und die Software vom Hersteller stammt. Bei Open-Source-Komponenten entfällt zwar die Haftung für die allgemeine Konformität, doch entdeckte Schwachstellen müssen auch dort an die Projekte gemeldet werden. Die Supportpflicht für Produkte gilt mindestens fünf Jahre.
Leitfaden mit 67 Praxisbeispielen
Ende Juli veröffentlichte die EU-Kommission einen über 80 Seiten starken Leitfaden. Er konkretisiert die Anforderungen und liefert 67 Praxisbeispiele zur Umsetzung. Die Regeln betreffen nicht nur neue Hardware, sondern auch Bestandsgeräte und weiterhin unterstützte Software.
Meldeplattform noch nicht einsatzbereit
Trotz des nahenden Termins hakt es an anderer Stelle: Die zentrale Meldeplattform der EU-Agentur für Cybersicherheit (ENISA) war Ende Juli noch nicht betriebsbereit. Branchenbeobachter raten Herstellern, Meldungen vorab gründlich zu verifizieren. Der Hintergrund: Immer wieder erweisen sich eingereichte Sicherheitswarnungen als falsch – wie zuletzt bei der Software-Bibliothek SQLite, wo mehrere Meldungen kurz nach Veröffentlichung zurückgezogen werden mussten.
Angesichts immer neuer regulatorischer Anforderungen wie dem CRA ist ein proaktiver Schutz vor Cyberangriffen für Unternehmen unerlässlich. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen rechtssicher erfüllen. IT-Sicherheit stärken und Unternehmen schützen
Parallel laufen weitere Fristen: Seit dem 2. August gelten neue Transparenzpflichten der EU-KI-Verordnung. Bereits seit dem 1. August sind Zertifizierungspflichten für Lastkraftwagen und IoT-Gateways für Straßenbeleuchtung in Kraft.
Registrierungslücke bei NIS2
Bei bereits geltenden Regeln zeigt sich ein gemischtes Bild. Die NIS2-Registrierungsfrist endete in Deutschland am 31. Juli. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zählt 18.845 registrierte Unternehmen – rund 6.500 als besonders wichtige und über 12.300 als wichtige Einrichtungen.
Neben der IT-Sicherheit rückt auch die KI-Regulierung mit dem neuen EU AI Act verstärkt in den Fokus der Unternehmens-Compliance. Ein kostenloser Download verschafft Ihnen jetzt den nötigen Überblick über Fristen, Pflichten und Risikoklassen für Ihre Organisation. EU AI Act Umsetzungsleitfaden kostenlos herunterladen
Das liegt deutlich unter den erwarteten 29.500 betroffenen Organisationen. Das Bundesinnenministerium ließ die Zahlen vom Statistischen Bundesamt überprüfen. Obwohl die Nicht-Registrierung bußgeldbewehrt ist, verzichtet das BSI vorerst auf Ordnungsmaßnahmen und bewertet den Stand als grundsätzlich zufriedenstellend.
Weitere Sicherheitsvorgaben in Sicht
Die regulatorische Landschaft verdichtet sich weiter. Ab Januar 2027 wird Cybersicherheit Pflicht für die CE-Kennzeichnung von Maschinen. Die vollständigen Produktpflichten des CRA müssen Unternehmen bis zum 11. Dezember 2027 umsetzen.
Auch große IT-Dienstleister reagieren: Microsoft etabliert Passkeys ab September 2026 als Standard in Entra ID und stellt die SMS-basierte Multi-Faktor-Authentisierung bis Anfang 2027 ein. Der Hintergrund: Datenpannen kosten laut Marktberichten im Schnitt fast fünf Millionen US-Dollar – Angriffe mit künstlicher Intelligenz treiben die Schadenssummen weiter nach oben.
