Cyber Resilience Act: Ab 11. September gilt die 24-Stunden-Meldepflicht

Was gilt ab dem 11. September?

Der Cyber Resilience Act (CRA) ist die EU-Verordnung für die Sicherheit von Produkten mit digitalen Elementen — vom vernetzten Sensor über die Maschinensteuerung bis zur mitgelieferten Software. Zum 11. September 2026 greift daraus die erste harte Pflicht: die Meldepflicht.

Konkret verlangt sie zwei Dinge. Erstens muss eine aktiv ausgenutzte Schwachstelle im eigenen Produkt binnen 24 Stunden erstgemeldet werden — nicht nach abgeschlossener Analyse, sondern als Frühwarnung. Zweitens gilt dasselbe für schwere Sicherheitsvorfälle, die die Sicherheit des Produkts beeinträchtigen.

Gemeldet wird über eine zentrale Plattform der EU-Agentur ENISA. Deren Betriebsbereitschaft ist der offene Punkt: Berichten zufolge ist die Plattform noch nicht produktiv. Das ändert an der Frist nichts — es erhöht nur die Notwendigkeit, den eigenen Prozess vorher zu klären.

Betrifft der CRA Ihr Unternehmen?

Hier lohnt Genauigkeit, denn die verbreitete Annahme „das betrifft nur Softwarehersteller" ist falsch. Der CRA knüpft an das Inverkehrbringen eines Produkts mit digitalen Elementen an. Betroffen sind damit typischerweise:

• Maschinen- und Anlagenbauer, deren Produkte vernetzt sind oder Software enthalten.
• Gerätehersteller aller Größen — auch kleine Nischenanbieter.
• Integratoren, die Produkte unter eigenem Namen in Verkehr bringen.
• Importeure und Händler, mit abgestuften Pflichten.

Wer dagegen ausschließlich Software und Geräte einsetzt, ohne selbst Produkte in Verkehr zu bringen, fällt nicht unter die Herstellerpflichten. Für diesen — im Mittelstand größeren — Teil ist der CRA vor allem mittelbar relevant: als Anforderung an die eigenen Lieferanten.

Was ist der Unterschied zu NIS2?

Die beiden werden oft verwechselt, betreffen aber verschiedene Dinge — und können durchaus gleichzeitig gelten.

NIS2 betrifft Ihren Betrieb: Wie sicher ist Ihre eigene IT, Ihr Risikomanagement, Ihre Reaktion auf Vorfälle? Die Grundlagen dazu in NIS2 für den Mittelstand.

Der CRA betrifft Ihr Produkt: Wie sicher ist das, was Sie verkaufen — über den gesamten Lebenszyklus, inklusive Updates?

Ein vernetzter Maschinenbauer kann also beides erfüllen müssen: NIS2 für den eigenen Betrieb, den CRA für seine Maschinen. Immerhin lassen sich die Meldeprozesse zusammen denken — beide verlangen, dass jemand einen Vorfall erkennt, bewertet und binnen Stunden meldet. Wie ernst solche Fristen genommen werden, hat zuletzt die verstrichene NIS2-Registrierungsfrist gezeigt.

Was heißt „24 Stunden“ praktisch?

Es heißt, dass die Uhr am Wochenende und im Urlaub genauso läuft. Wer erst am Montag bemerkt, dass es am Freitag einen Hinweis gab, hat die Frist bereits verpasst. Damit steht und fällt die Pflicht mit drei Voraussetzungen:

• Sie bemerken es überhaupt. Ohne Überwachung und einen erreichbaren Meldeweg für Sicherheitsforscher und Kunden erfahren Sie von der Ausnutzung womöglich als Letzter.
• Jemand darf entscheiden. Wenn die Meldung erst durch drei Freigaben muss, sind 24 Stunden nicht zu halten.
• Der Weg ist geübt. Wer die Meldeplattform im Ernstfall zum ersten Mal öffnet, verliert wertvolle Zeit.

Praktisch braucht es also eine benannte Person mit Vertretung, eine klare Eskalation und einen dokumentierten Ablauf — das gehört in den Notfallplan und nicht in den Kopf eines Einzelnen.

Was ist bis zum Stichtag zu tun?

Vier Schritte, die in vier Wochen zu schaffen sind:

• Betroffenheit klären: Bringen wir Produkte mit digitalen Elementen in Verkehr — auch als Integrator unter eigenem Namen?
• Verantwortlichkeit benennen: Wer meldet, wer vertritt, wer entscheidet außerhalb der Geschäftszeiten?
• Meldeweg vorbereiten: Zugänge klären, Ablauf dokumentieren, einmal durchspielen.
• Meldekanal nach außen öffnen: Eine erreichbare Adresse für Schwachstellenmeldungen, damit Hinweise Sie überhaupt erreichen.

Eine offizielle Orientierungshilfe gibt es inzwischen: Das BSI hat Anfang August die Technische Richtlinie TR-03183 in Version 1.0 veröffentlicht — die erste behördliche Einstiegshilfe zur CRA-Umsetzung. Sie ersetzt keine Rechtsberatung, ist aber der sinnvollste Startpunkt, wenn Sie die Anforderungen an Ihr eigenes Produkt einordnen wollen.

Dass die ENISA-Plattform möglicherweise verspätet startet, ist dabei kein Grund zu warten — die Pflicht besteht ab dem Stichtag, und ein geübter interner Prozess ist ohnehin der aufwendigere Teil.

Was sollten Sie als Nächstes tun?

Beantworten Sie zuerst die eine Frage, die alles andere entscheidet: Bringen wir ein Produkt mit digitalen Elementen in Verkehr? Lautet die Antwort nein, ist der CRA für Sie eine Lieferantenfrage. Lautet sie ja, haben Sie bis zum 11. September einen Meldeprozess aufzusetzen.

Wir klären das mit Ihnen und bauen den organisatorischen Teil auf — Zuständigkeiten, Eskalation, Meldeweg und die technische Überwachung, die einen Vorfall überhaupt erst sichtbar macht. Verhältnismäßig zu Ihrer Größe, ohne Compliance-Theater.