Ab dem 11. September 2026 greifen die neuen Meldepflichten gemäß Artikel 14 des EU Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen sind damit verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle zeitnah an die zuständigen Behörden zu melden.
Während die gesetzlichen Rahmenbedingungen nun wirksam werden, offenbart eine aktuelle Umfrage unter deutschen Industrieunternehmen erhebliche Defizite bei der praktischen Umsetzung der strengen Zeitvorgaben.
Umfassende Meldepflichten für Hardware und Software
Die Neuregelungen betreffen ein breites Spektrum an Produkten. Neben Hardware fallen sämtliche Erzeugnisse mit digitalen Elementen unter die Verordnung, darunter Software, Skripte, Software Development Kits (SDKs) sowie kostenlose Applikationen.
Die Pflichten gelten dabei nicht nur für Neuentwicklungen, sondern schließen auch bereits in Verkehr gebrachte Bestandsprodukte ein. Hersteller müssen Sicherheitsrelevante Vorfälle über die Single Reporting Platform (ENISA-SRP) sowohl an das zuständige Computer Emergency Response Team (CSIRT) als auch an die EU-Cyber-Sicherheitsbehörde ENISA melden.
Der Gesetzgeber sieht für die Meldungen einen dreistufigen Prozess vor: Eine erste Frühwarnung muss innerhalb von 24 Stunden erfolgen. Es folgt eine detaillierte Meldung innerhalb von 72 Stunden.
Wer sich mit den neuen gesetzlichen Anforderungen und aktuellen Cyberrisiken befasst, erhält in diesem kostenlosen Report wichtige Einblicke in die rechtlichen Pflichten für Unternehmer. Jetzt über neue KI-Gesetze und Cyberrisiken aufklären
Ein abschließender Bericht ist bei Schwachstellen 14 Tage nach Einleitung einer Gegenmaßnahme einzureichen; bei Sicherheitsvorfällen endet die Frist einen Monat nach der Erstmeldung. Verstöße gegen diese Anforderungen können weitreichende finanzielle Konsequenzen haben. Es drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweit erzielten Jahresumsatzes.
Industrie kämpft mit technischer Umsetzung
Trotz der bereits länger bekannten Anforderungen zeigt eine Umfrage der Organisation Onekey unter 200 deutschen Industrieunternehmen ein gemischtes Bild zur Vorbereitung. Zwar gaben 46 % der befragten Firmen an, gut über die neuen Regelungen informiert zu sein, doch die praktische Umsetzung bereitet Schwierigkeiten.
So sehen 62 % der Unternehmen Probleme bei der Einhaltung der kritischen 24-Stunden-Meldepflicht. Zudem haben 60 % der Befragten das Thema der Software Bill of Materials (SBOM) noch nicht gelöst. Ein maschinenlesbares Verzeichnis aller Softwarekomponenten ist jedoch eine zentrale Voraussetzung für die technische Dokumentation nach dem CRA.
Die Relevanz der neuen Fristen verdeutlichen aktuelle Fälle von Schwachstellen. So unterliegen etwa Router-Schwachstellen, wie sie Anfang September bei MikroTik-Geräten durch das CERT Polska identifiziert wurden, künftig dem strikten 24-Stunden-Regime, sofern sie aktiv ausgenutzt werden.
Angesichts steigender Bedrohungen und strengerer Compliance-Regeln zeigt dieses Gratis-E-Book, wie Firmen Sicherheitslücken proaktiv schließen und ihre IT-Sicherheit ohne hohe Investitionen stärken können. Kostenloses E-Book zum Schutz vor Cyberangriffen sichern
Auch der zunehmende Einsatz von KI-Analysetools führt zu einer höheren Entdeckungsrate von Sicherheitslücken. Branchenbeobachter verweisen hierbei auf signifikante Zahlen bei großen Technologieanbietern: So wurden zuletzt bei Oracle 1.449, bei Microsoft 421 und bei Apple 210 Schwachstellen identifiziert.
Vorbereitung und langfristige Anforderungen
Zur Erfüllung der Vorgaben müssen Hersteller neben der Erstellung von SBOMs auch Incident-Response-Pläne vorhalten und eine Risikobewertung nach Artikel 13 durchführen.
Unternehmen wie der Industrienetzwerk-Hersteller Moxa bereiten sich bereits durch Zertifizierungen nach IEC 62443-4-1 ML3 sowie die Etablierung spezieller Product Security Incident Response Teams (PSIRT) vor. Hilfestellung bieten hierbei Dokumente wie die Technische Richtlinie TR-03183 des Bundesamtes für Sicherheit in der Informationstechnik (BSI).
Während die Meldepflichten bereits jetzt wirksam werden, bleibt für andere Teile des Cyber Resilience Act noch Zeit. Die vollen Anforderungen, zu denen auch die CE-Kennzeichnungspflicht und die Garantie kostenloser Sicherheitsupdates für mindestens fünf Jahre gehören, werden erst ab dem 11. Dezember 2027 verbindlich.
Für Software, Backend-Systeme, Ladeinfrastruktur oder Diagnosegeräte gibt es dabei keine automatischen Ausnahmen. Dennoch rechnen laut der Onekey-Umfrage bereits jetzt 13 % der Unternehmen damit, diese abschließende Frist im Jahr 2027 zu verfehlen.
In einigen EU-Mitgliedstaaten wie Schweden steht die nationale Gesetzgebung zudem noch am Anfang; dort liegt bislang lediglich eine Untersuchung (SOU 2025:115) vor, die jedoch ebenfalls bereits Sanktionen für Verstöße vorsieht.
