Cyber Resilience Act erreicht die nächste Umsetzungsstufe
Der Cyber Resilience Act soll die Cybersicherheit von Produkten mit digitalen Elementen im europäischen Binnenmarkt verbessern. Dazu zählen grundsätzlich viele Geräte und Softwareprodukte, die direkt oder indirekt mit anderen Geräten oder Netzwerken verbunden sind.
Während ein großer Teil der technischen und organisatorischen CRA-Anforderungen erst ab 11. Dezember 2027 anzuwenden ist, ist ein wichtiger Teil bereits jetzt verbindlich: Seit 11. September 2026 gelten die Meldepflichten für Hersteller. Das bestätigt sowohl die Europäische Kommission als auch die EU-Agentur für Cybersicherheit ENISA.
Hersteller müssen seit diesem Zeitpunkt insbesondere zwei Ereignistypen melden: aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle, die Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen haben.
Die erste Frist beträgt nur 24 Stunden
Besonders relevant ist die kurze Reaktionszeit.
Wird einem Hersteller eine aktiv ausgenutzte Schwachstelle oder ein entsprechend schwerwiegender Sicherheitsvorfall bekannt, muss grundsätzlich innerhalb von 24 Stunden eine erste Frühwarnung abgegeben werden.
Innerhalb von 72 Stunden folgt eine ausführlichere Meldung mit den zu diesem Zeitpunkt verfügbaren Informationen und einer ersten Bewertung. Bei einer aktiv ausgenutzten Schwachstelle muss anschließend spätestens 14 Tage nach Bereitstellung einer Korrektur- oder Minderungsmaßnahme ein Abschlussbericht folgen. Für schwerwiegende Vorfälle gilt für den Abschlussbericht grundsätzlich eine Frist von einem Monat nach der 72-Stunden-Meldung.
Eine „aktiv ausgenutzte Schwachstelle“ bedeutet dabei nicht lediglich, dass theoretisch ein Angriff möglich wäre. Nach der CRA-Definition muss es belastbare Hinweise darauf geben, dass ein Angreifer die Schwachstelle tatsächlich ohne Erlaubnis eines Systembetreibers ausgenutzt hat.
Eine zentrale Plattform für Meldungen in der EU
Parallel zum Start der Meldepflicht hat ENISA am 11. September die CRA Single Reporting Platform (SRP) in Betrieb genommen.
Hersteller müssen ihre verpflichtenden CRA-Meldungen über diese zentrale Plattform übermitteln. Dadurch sollen Unternehmen nicht mehrere nationale Behörden separat verständigen müssen. Die Meldung wird an das zuständige nationale Computer Security Incident Response Team – kurz CSIRT – weitergeleitet und grundsätzlich auch ENISA zur Verfügung gestellt.
Für Hersteller bedeutet das allerdings auch, dass interne Prozesse auf die kurzen gesetzlichen Fristen vorbereitet sein müssen. Es reicht beispielsweise nicht, erst nach Abschluss einer vollständigen technischen Analyse über eine Meldung nachzudenken. Bereits das Bekanntwerden eines meldepflichtigen Ereignisses kann die Frist auslösen.
Dafür sollten Verantwortlichkeiten, Eskalationswege und Kommunikationsprozesse bereits vor einem Sicherheitsvorfall eindeutig festgelegt sein.
Warum das auch für Energie- und kommunale Infrastruktur relevant ist
Die neue Regelung richtet sich primär an Hersteller der betroffenen Produkte und nicht automatisch an jeden Betreiber oder Nutzer eines digitalen Systems.
Für Energieunternehmen, Gemeinden und andere Betreiber digitaler Infrastruktur ist die Entwicklung dennoch relevant. In solchen Umgebungen werden zahlreiche vernetzte Produkte eingesetzt – beispielsweise Router, Firewalls, Steuerungskomponenten, Server, Kommunikationssysteme oder andere Hard- und Softwareprodukte.
ENISA weist ausdrücklich darauf hin, dass Schwachstellen in digitalen Produkten Auswirkungen auf kritische Bereiche wie Energie, Gesundheitswesen, Verkehr und Telekommunikation haben können. Ein schnellerer und koordinierter Informationsaustausch über aktiv ausgenutzte Schwachstellen soll deshalb letztlich auch Betreiber und Endnutzer besser schützen.
Unternehmen, die selbst Produkte mit digitalen Elementen herstellen oder unter eigenem Namen auf dem EU-Markt bereitstellen, sollten daher besonders genau prüfen, welche CRA-Pflichten auf sie zutreffen.
Wichtig ist außerdem die zeitliche Abgrenzung: Die jetzt gestartete Meldepflicht ist nur ein Teil des Cyber Resilience Act. Die umfassenderen Anforderungen an die Cybersicherheit von Produkten und deren Lebenszyklus gelten grundsätzlich ab 11. Dezember 2027.
Handlungsempfehlungen
- Eigene Rolle prüfen: Unternehmen sollten klären, ob sie im Sinne des CRA als Hersteller eines Produkts mit digitalen Elementen gelten.
- Produkte erfassen: Betroffene Hardware- und Softwareprodukte sollten in einer nachvollziehbaren Produktübersicht dokumentiert werden.
- 24-Stunden-Prozess definieren: Es sollte klar geregelt sein, wer eine mögliche aktiv ausgenutzte Schwachstelle bewertet und wer eine CRA-Meldung auslöst.
- Single Reporting Platform vorbereiten: Verantwortliche Mitarbeiterinnen und Mitarbeiter sollten sich mit der neuen ENISA-Meldeplattform und deren Anforderungen vertraut machen.
- Security- und Produktteams verbinden: Informationen über Schwachstellen müssen schnell zwischen Entwicklung, IT-Sicherheit, Management und gegebenenfalls Rechtsabteilung weitergegeben werden.
- Incident-Response-Prozesse überprüfen: Bestehende Notfall- und Schwachstellenprozesse sollten berücksichtigen, dass gesetzliche Fristen bereits vor Abschluss einer vollständigen Analyse beginnen können.
- CRA-Vorbereitung nicht auf 2027 verschieben: Auch wenn viele Produktanforderungen erst Ende 2027 gelten, sind die Meldepflichten bereits jetzt wirksam.
Quellen
European Commission – „Cyber Resilience Act – Reporting obligations“
Die Europäische Kommission bestätigt den Beginn der Meldepflichten am 11. September 2026 sowie die Fristen von 24 und 72 Stunden.
European Commission: CRA Reporting Obligations
ENISA – „The CRA Single Reporting Platform is launched“, 11. September 2026
ENISA bestätigt den Start der zentralen Meldeplattform und erläutert deren Funktion für Hersteller und zuständige CSIRTs.
ENISA: Start der CRA Single Reporting Platform
ENISA – „Single Reporting Platform – Frequently Asked Questions“, aktualisiert am 11. September 2026
Die FAQ erläutern meldepflichtige Ereignisse, Fristen und praktische Abläufe der Plattform.
ENISA: CRA-SRP FAQ
EUR-Lex – Verordnung (EU) 2024/2847, Cyber Resilience Act
Der Rechtsakt enthält die verbindlichen Vorgaben für Frühwarnung, Folgemeldung und Abschlussbericht.
EUR-Lex: Cyber Resilience Act