Ab dem 11. September 2026 müssen Hersteller, die Produkte mit digitalen Elementen in die EU liefern, aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden melden. Die Pflicht ergibt sich aus Artikel 14 des Cyber Resilience Act (Verordnung 2024/2847) und betrifft sowohl schwere Sicherheitsvorfälle als auch aktiv ausgenutzte Schwachstellen in Hard- und Software.
Gestaffelte Fristen und neue Meldeplattform
Auf die erste 24-Stunden-Meldung folgt ein Folgebericht innerhalb von 72 Stunden. Den Abschluss bildet ein finaler Bericht, der bei Schwachstellen nach 14 Tagen und bei Vorfällen nach einem Monat fällig wird. Die Meldungen laufen künftig über die ENISA Single Reporting Platform, die zum 11. September 2026 startet, und gehen sowohl an ENISA als auch an das jeweils zuständige nationale CSIRT.
Die Pflichten beschränken sich nicht auf die Endprodukte selbst: Auch Komponenten von Drittanbietern fallen unter die Regelung. Weitere Anforderungen, darunter die CE-Kennzeichnung im Kontext des CRA, greifen erst ab dem 11. Dezember 2027 – die Meldepflicht für Schwachstellen und Vorfälle beginnt jedoch bereits deutlich früher.
Leitlinien von Kommission und BSI
Um Herstellern die Umsetzung zu erleichtern, veröffentlichte die EU-Kommission am 27. Juli 2026 nichtbindende Leitlinien zu den Meldepflichten. Ergänzend legte das BSI Anfang August 2026 die Technische Richtlinie TR-03183-1 in Version 1.0.0 vor. Sie versteht sich als Einstiegshilfe für den CRA und enthält Vorgaben zu Software-Stücklisten (SBOM), zu Schwachstellenprozessen sowie zur Konformitätsbewertung nach Modul H über ein Informationssicherheits-Managementsystem gemäß ISO 27001. Auch diese Richtlinie ist rechtlich nicht bindend, dient Herstellern aber als praktische Orientierung.
Größte Hürde: Sichtbarkeit über Software-Inventare
Nach Einschätzung von Doc McConnell von Finite State liegt die größte Herausforderung für Hersteller nicht in der Meldung selbst, sondern in der mangelnden Sichtbarkeit über eigene Software-Inventare und verbaute Drittkomponenten. Wer nicht genau weiß, welche Komponenten in seinen Produkten stecken, kann Schwachstellen auch nicht rechtzeitig identifizieren und melden.
Angesichts immer komplexerer Vorschriften müssen Unternehmen ihre IT-Sicherheit heute strategisch neu bewerten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Jetzt kostenlosen Cyber-Security-Report sichern
Eine Erhebung von Make UK zeigt, dass 30 Prozent der britischen Hersteller bereits Cyberangriffe erlebt haben, aber nur 51 Prozent über einen entsprechenden Reaktionsplan verfügen. Iain Davidson von Wireless Logic betont, dass Sicherheit damit faktisch zur rechtlichen Voraussetzung für den Verkauf vernetzter Produkte in Europa wird. Secure-by-Design-Prinzipien und eine vollständige SBOM seien künftig keine Kür mehr, sondern Pflicht.
SBOM und Risikobewertung als zentrale Bausteine
Die Software Bill of Materials ist fester Bestandteil der geforderten technischen Dokumentation. Als etablierte Formate gelten CycloneDX und SPDX. Hinzu kommt die Risikobewertung nach Artikel 13 des CRA, die Hersteller verpflichtet, Schwachstellen in ihren Produkten systematisch zu bewerten.
Wer sich mit dem Thema IT-Resilienz befasst, sollte auch die internen Sicherheitslücken proaktiv schließen, bevor gesetzliche Meldefristen zum Tragen kommen. Experten erklären im kostenlosen E-Book, wie Sie sich und Ihr Unternehmen absichern, bevor es zu spät ist. Kostenloses E-Book zum Schutz vor Cyberangriffen herunterladen
Fehlende Normen erschweren Zertifizierung
Praktische Unsicherheiten bestehen weiterhin bei der Zertifizierung: Der Elektrotechnische Verband der Tschechischen Republik veranstaltet am 16. September 2026 in Prag sowie am 7. Oktober 2026 in Brünn Foren zur CRA-Zertifizierung. Hintergrund ist, dass bislang keine harmonisierten Normen veröffentlicht wurden – eine Selbstbewertung für Produkte der Annex-III-Klasse I ist damit derzeit nicht möglich.
Hersteller reagieren mit Umbauten
Erste Anbieter richten ihre Produktstrategie bereits an den neuen Vorgaben aus. Der Hersteller NovaCustom ersetzt proprietäre Firmware durch europäische Open-Source-Firmware auf Basis von Dasharo coreboot und strebt zudem eine ISO-27001-Zertifizierung an – ein Beispiel dafür, wie Unternehmen versuchen, Transparenz und Sicherheitsanforderungen des CRA frühzeitig in ihre Entwicklung zu integrieren.
