Die EU-Kommission hat neue Richtlinien zur Cybersicherheit digitaler Produkte veröffentlicht. Hersteller müssen künftig Sicherheitsvorfälle deutlich schneller melden – erste Pflichten gelten bereits ab September.
Meldepflichten kommen früher als erwartet
Die neuen Vorgaben treffen Unternehmen härter als gedacht. Bereits am 11. September 2026 wird Artikel 14 des EU Cyber Resilience Act (CRA) wirksam. Diese Regelung verpflichtet Hersteller digitaler Produkte zu einem mehrstufigen Meldeverfahren bei Sicherheitsvorfällen. Die Fristen sind ambitioniert: Eine erste Frühwarnung muss innerhalb von 24 Stunden nach Bekanntwerden eines Vorfalls erfolgen. Eine formelle Meldung folgt binnen 72 Stunden. Die Abschlussmeldung ist entweder 14 Tage nach erfolgreicher Behebung oder spätestens einen Monat nach dem Vorfall fällig.
Die Übermittlung läuft über die zentrale Meldeplattform der EU-Agentur für Cybersicherheit (ENISA). Branchenbeobachter bemängeln allerdings, dass die Plattform bislang keine Schnittstellen für automatisierte Meldungen bietet. Das dürfte vor allem größere Unternehmen treffen, die viele Produkte im Markt haben.
Angesichts der neuen EU-Meldepflichten müssen Unternehmen ihre IT-Sicherheit jetzt proaktiv aufstellen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Gratis-E-Book zu Cyber-Risiken und Gesetzen herunterladen
Während die meisten CRA-Anforderungen erst am 11. Dezember 2027 verpflichtend werden, starten die Meldepflichten für aktive Schwachstellen bereits jetzt. Sie gelten für alle digitalen Produkte auf dem EU-Markt – unabhängig vom Firmensitz des Herstellers.
Hohe Strafen, Erleichterungen für kleine Firmen
Die finanziellen Konsequenzen bei Verstößen sind erheblich: Unternehmen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ausfällt.
Kleine und mittlere Unternehmen können aufatmen: Sie sind vorerst von Verwaltungsstrafen für das Verpassen der 24-Stunden-Frist befreit. Die EU will ihnen damit Zeit geben, sich auf die neue Meldeinfrastruktur einzustellen.
Strengere Kontrollen für IoT-Gateways und Lkw
Auch bei speziellen Produktkategorien verschärft sich die Lage. Seit dem 29. Juli 2026 benötigen IoT-Gateways für intelligente Straßenbeleuchtung eine Zertifizierung nach EN IEC 62443-4-1. Ohne diesen Nachweis und die EU-Konformitätserklärung drohen Produkte an der Grenze beschlagnahmt oder aus Online-Marktplätzen entfernt zu werden.
Um teure Bußgelder und Sicherheitslücken zu vermeiden, sollten KMU ihre Schutzmaßnahmen ohne hohe Investitionen optimieren. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Ihr Unternehmen langfristig absichern und neue Anforderungen erfüllen. 5 praxiserprobte Sicherheitsmaßnahmen entdecken
Der Verkehrssektor folgt am 1. August 2026: Neue schwere Lkw – darunter Zugmaschinen, Betonmischer und Kipper – müssen ein Cybersicherheits-Managementsystem (CSMS) und eine UNECE-R155-Erklärung vorweisen. Andernfalls ist keine Zulassung und kein Betrieb in der EU möglich.
Neue Regeln für KI und Maschinen
Auch Hersteller automatisierter Maschinen müssen sich umstellen. Der sogenannte Digital Omnibus on AI, der am 27. Juli 2026 in Kraft trat, verändert die Behandlung technischer Anforderungen für Hochrisiko-KI. Diese werden nun direkt in die EU-Maschinenverordnung 2023/1230 integriert, statt separat unter dem KI-Gesetz zu laufen.
Bis die vollständige Maschinenverordnung am 20. Januar 2027 greift, dürfen Hersteller weiterhin harmonisierte Normen des KI-Gesetzes nutzen. Die Transparenzpflichten aus Artikel 50 des AI Acts starten bereits am 2. August 2026 – passend zu den kürzlich veröffentlichten Leitlinien.
Für betroffene Unternehmen heißt das: Die Zeit drängt. Wer seine Meldewege und Zertifizierungen noch nicht angepasst hat, sollte schnell handeln.
