Mit dem 11. September 2026 sind die Meldepflichten des EU Cyber Resilience Act (Verordnung (EU) 2024/2847, angenommen am 23. Oktober 2024) in Kraft getreten. Hersteller von Produkten mit digitalen Elementen müssen ab sofort aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle melden.
Parallel dazu hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine zentrale Meldeplattform gestartet – allerdings ohne die Möglichkeit einer vorherigen Registrierung, was für Unternehmen zusätzlichen Handlungsdruck erzeugt.
Meldeverfahren mit engen Fristen
Der Kern der neuen Pflichten nach Artikel 14 CRA ist ein dreistufiges Verfahren: Innerhalb von 24 Stunden nach Kenntnisnahme müssen Hersteller eine Frühwarnung abgeben, binnen 72 Stunden folgt eine Detailmeldung. Nach Umsetzung von Korrekturmaßnahmen ist bei Schwachstellen ein Abschlussbericht innerhalb von 14 Tagen fällig, bei schweren Vorfällen innerhalb eines Monats nach der Erstmeldung.
Die Meldungen laufen über die CRA Single Reporting Platform, die inzwischen unter portal.cra-srp.enisa.europa.eu erreichbar ist, an das CSIRT des jeweiligen Firmensitzes sowie an die europäische Cybersicherheitsagentur ENISA.
Der Chiphersteller NXP hat bestätigt, dass sein PSIRT-Team (Product Security Incident Response Team) die Reaktion auf Schwachstellen unterstützt und dabei exakt an diesen Fristen – 24 Stunden, 72 Stunden, 14 Tage beziehungsweise ein Monat – orientiert ist.
BSI-Plattform ohne Vorlauf
Besonders kurzfristig zeigt sich die nationale Umsetzung in Deutschland: Das BSI hat seine zentrale Meldeplattform genau zum Stichtag freigeschaltet, ohne dass Hersteller sich zuvor registrieren konnten. Wer meldepflichtig wird, muss den Zugang also erst im laufenden Betrieb einrichten – ein Umstand, der insbesondere kleinere Unternehmen ohne etablierte Compliance-Strukturen vor praktische Probleme stellen dürfte.
Wer sich mit neuen gesetzlichen Anforderungen an die IT-Sicherheit befasst, muss neben dem CRA auch bestehende Regelungen wie die DSGVO im Blick behalten. Dieser kostenlose Leitfaden zeigt Ihnen in 5 Schritten, wie Sie Ihre Compliance-Pflichten rechtssicher erfüllen und Bußgelder vermeiden. In 5 Schritten DSGVO-konform: So haken Sie alle Pflichten schnell und einfach ab
Auch ältere und Legacy-Produkte betroffen
Die Meldepflichten gelten nicht nur für neue Produkte. Sie erfassen laut Rechtsexperten auch Waren, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden, sowie sogenannte Legacy-Produkte und Produkte, deren Support bereits ausgelaufen ist. Das bedeutet für Hersteller, dass sie ihr gesamtes bestehendes Produktportfolio auf Meldefähigkeit prüfen müssen, nicht nur künftige Entwicklungen.
Bußgelder und Vorbereitungsstand der Industrie
Verstöße gegen die Meldepflichten können teuer werden: Artikel 64 Absatz 2 der Verordnung sieht Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ausfällt.
Die eigentlichen Hauptpflichten des CRA, einschließlich der CE-Kennzeichnung für Produkte mit digitalen Elementen, greifen erst ab dem 11. Dezember 2027. Bis dahin müssen Hersteller jedoch bereits funktionierende Software-Stücklisten (SBOM) und ein Schwachstellenmanagement etabliert haben.
Fachleute betonen dabei, dass eine SBOM allein nicht ausreicht – entscheidend seien eine klare Produktdefinition und durchgängige Rückverfolgbarkeit der Produktdaten, die als eine der anspruchsvollsten Anforderungen der gesamten Verordnung gilt.
Die zunehmende Komplexität digitaler Gesetze stellt Unternehmen vor die Herausforderung, den Überblick über alle notwendigen Dokumentationspflichten zu behalten. Erfahren Sie in diesem kostenlosen Ratgeber, welche Schritte für eine rechtssichere Umsetzung Ihrer betrieblichen Pflichten jetzt entscheidend sind. 5 sofort umsetzbare Schritte zur rechtssicheren Umsetzung entdecken
Wie gut die deutsche Wirtschaft auf diese Anforderungen vorbereitet ist, zeigt eine Bitkom-Umfrage unter 1003 Unternehmen aus der 16. bis 23. Kalenderwoche 2026: Nur 29 Prozent der Befragten gaben an, die Bedeutung des Cyber Resilience Act zu kennen, 38 Prozent hatten lediglich davon gehört, und 28 Prozent war die Verordnung gänzlich unbekannt. 38 Prozent der Unternehmen sahen sich zudem nicht in der Lage, die Relevanz des Gesetzes für das eigene Geschäft einzuschätzen.
Angesichts der nun aktiven Meldepflichten und der bevorstehenden Hauptpflichten ab Ende 2027 dürfte der Nachholbedarf in vielen Betrieben erheblich sein.
Mehr zum Thema bei The Register: „EU’s Cyber Resilience Act starts the 24“
