Der Cyber Resilience Act (CRA) wird für viele Unternehmen früher konkret, als es der allgemeine Zeitplan der Verordnung vermuten lässt. Zwar greift ein Großteil der Anforderungen erst ab dem 11. Dezember 2027 vollständig. Die Meldepflichten für bestimmte Schwachstellen und Sicherheitsvorfälle gelten jedoch bereits ab dem 11. September 2026.
Für Hersteller von Software, vernetzter Hardware und anderen Produkten mit digitalen Elementen bedeutet das: Es reicht künftig nicht aus, Sicherheitsprobleme technisch zu beheben. Unternehmen müssen auch organisatorisch in der Lage sein, einen meldepflichtigen Sachverhalt schnell zu erkennen, intern zu bewerten und innerhalb kurzer Fristen an die zuständigen Stellen zu melden.
Wer vom Cyber Resilience Act betroffen ist
Im Zentrum der Meldepflichten stehen Hersteller. Gemeint sind Unternehmen, die Produkte mit digitalen Elementen selbst entwickeln oder entwickeln lassen und anschließend unter ihrem eigenen Namen oder ihrer eigenen Marke auf dem europäischen Markt anbieten. Dabei spielt es grundsätzlich keine Rolle, ob das Produkt kostenpflichtig, kostenlos oder über andere Formen der Monetarisierung bereitgestellt wird.
Der CRA betrifft damit beispielsweise Hersteller von Software, Anwendungen, vernetzter Hardware und weiteren digitalen Komponenten. Auch bestehende Produkte sollten in die Vorbereitung einbezogen werden: Die Meldepflicht kann ebenfalls Produkte erfassen, die bereits vor dem vollständigen Inkrafttreten der CRA-Anforderungen in der EU in Verkehr gebracht wurden.
Importeure, Händler, Zulieferer und Kunden sind zwar nicht automatisch Adressaten derselben Hersteller-Meldepflicht. Je nach Rolle können sich aus dem CRA jedoch eigene Anforderungen ergeben oder Hersteller auf Informationen und Mitwirkung entlang der Lieferkette angewiesen sein.
Was ab dem 11. September gemeldet werden muss
Zwei Ereignisarten stehen im Mittelpunkt: aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle, die Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen haben. Sobald ein Hersteller von einem solchen Ereignis Kenntnis erlangt, beginnen die gesetzlichen Fristen zu laufen. Vorgesehen ist ein mehrstufiges Meldeverfahren über die CRA Single Reporting Platform von ENISA. Die erste Frühwarnung muss innerhalb von 24 Stunden erfolgen. Innerhalb von 72 Stunden folgt eine ausführlichere Meldung mit dem bis dahin bekannten Sachstand.
Die ENISA ist die Agentur der Europäischen Union für Cybersicherheit. Sie unterstützt die EU und ihre Mitgliedstaaten dabei, ein hohes gemeinsames Cybersicherheitsniveau zu erreichen. Im Rahmen des Cyber Resilience Act übernimmt sie eine zentrale Rolle bei den Meldeprozessen und betreibt die CRA Single Reporting Platform, über die Hersteller künftig ihre Meldungen übermitteln.
Bei einer aktiv ausgenutzten Schwachstelle ist darüber hinaus ein Abschlussbericht spätestens 14 Tage nach Bereitstellung einer Korrektur oder einer Maßnahme zur Risikominderung vorgesehen. Bei einem schwerwiegenden Sicherheitsvorfall gilt grundsätzlich eine Frist von einem Monat nach der 72-Stunden-Meldung für den Abschlussbericht. Zusätzlich kann die Pflicht bestehen, betroffene Nutzer über die Schwachstelle oder den Sicherheitsvorfall zu informieren und ihnen Hinweise zu geeigneten Maßnahmen zur Risikominderung zu geben.
Die eigentliche Herausforderung sind die 24 Stunden
Die 24-Stunden-Frist bedeutet nicht, dass innerhalb eines Tages bereits die vollständige technische oder forensische Analyse abgeschlossen sein muss. Entscheidend ist vielmehr, dass ein Unternehmen schnell beurteilen kann, ob überhaupt ein meldepflichtiger Sachverhalt vorliegt. Genau darin liegt für viele mittelständische Unternehmen die organisatorische Herausforderung. Wird beispielsweise bekannt, dass eine bereits ausgelieferte Softwareversion eine Schwachstelle enthält, die aktiv ausgenutzt wird, laufen mehrere Prozesse gleichzeitig. Die technische Analyse beginnt, mögliche Sofortmaßnahmen werden geprüft und gegebenenfalls ein Update vorbereitet. Parallel muss jedoch geklärt werden, ob eine Meldung erforderlich ist – und wer diese Entscheidung trifft. Sind Verantwortlichkeiten und Eskalationswege erst im Ernstfall zu klären, wird aus einer 24-Stunden-Frist schnell ein erhebliches unternehmerisches Risiko.
Cybersicherheit ist nicht mehr nur Aufgabe der IT
Der CRA zeigt besonders deutlich, dass Cybersicherheit nicht allein in der IT-Abteilung organisiert werden kann. Entwicklung und IT-Sicherheit müssen beurteilen, was technisch passiert ist. Das Produktmanagement muss wissen, welche Versionen und Kunden betroffen sein können. Compliance und Recht müssen den Sachverhalt regulatorisch einordnen. Gleichzeitig braucht es auf Managementebene klare Entscheidungs- und Eskalationswege.
Die entscheidende Frage lautet deshalb nicht nur: Kann unser Unternehmen eine Schwachstelle technisch beheben? Mindestens ebenso wichtig ist: Sind wir im Ernstfall innerhalb von 24 Stunden entscheidungs- und meldefähig?
Was Unternehmen jetzt vorbereiten sollten
Bis zum 11. September sollten Hersteller ihre eigene Meldefähigkeit kritisch überprüfen. Der erste Schritt ist eine Bestandsaufnahme des Produktportfolios: Welche Produkte fallen grundsätzlich in den Anwendungsbereich des CRA? Welche Versionen und Komponenten sind im Einsatz und wie schnell lassen sich diese Informationen im Sicherheitsfall zusammentragen? Darauf aufbauend sollten Verantwortlichkeiten eindeutig definiert werden. Wer nimmt Hinweise auf Schwachstellen entgegen? Wer bewertet sie? Wer entscheidet über eine mögliche Meldepflicht? Wer darf eine Meldung freigeben und tatsächlich absetzen?
Vulnerability Management, Incident Response und Patch-Management sollten dabei nicht als voneinander getrennte Prozesse betrachtet werden. Entscheidend ist, dass Informationen zwischen den beteiligten Bereichen schnell fließen und im Ernstfall verfügbar sind. Auch eingesetzte Dritt- und Open-Source-Komponenten sowie Dienstleister und Lieferanten sollten in diese Betrachtung einbezogen werden.
Sinnvoll ist außerdem, Melde- und Freigabeprozesse vor dem Stichtag anhand konkreter Szenarien zu testen. So lässt sich feststellen, ob Zuständigkeiten auf dem Papier zwar definiert sind, unter Zeitdruck aber tatsächlich funktionieren.
Verstöße können erhebliche Folgen haben
Der Cyber Resilience Act sieht bei Verstößen empfindliche Sanktionen vor. Für bestimmte Verstöße gegen zentrale Anforderungen können Geldbußen von bis zu 15 Millionen Euro beziehungsweise 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vorgesehen sein – maßgeblich ist grundsätzlich der höhere Betrag. Die konkrete Höhe hängt unter anderem von Art, Schwere und Dauer des Verstoßes ab.
Für Kleinst- und Kleinunternehmen sieht der CRA bei der isolierten Überschreitung der 24-Stunden-Frist eine Besonderheit vor: Allein für das Versäumen dieser Frühwarnfrist darf keine Geldbuße verhängt werden. Die Meldepflicht selbst sowie die weiteren Fristen bleiben davon jedoch unberührt.
Der 11. September ist der erste Praxistest
Für betroffene Hersteller ist der 11. September 2026 deshalb mehr als ein weiterer regulatorischer Stichtag. Er ist der erste konkrete Praxistest auf dem Weg zur vollständigen CRA-Compliance ab Dezember 2027.
Unternehmen sollten die verbleibende Zeit nutzen, um Zuständigkeiten festzulegen, Informationswege aufzubauen und ihre Abläufe praktisch zu erproben. Denn im Sicherheitsvorfall entscheidet nicht allein die Qualität des späteren Patches. Ebenso wichtig ist die Fähigkeit, relevante Informationen rechtzeitig zusammenzuführen, Risiken belastbar einzuschätzen und innerhalb der gesetzlichen Fristen zu handeln.
Für Geschäftsführer bedeutet das vor allem: Die Frage nach der CRA-Readiness sollte nicht ausschließlich an die IT weitergereicht werden. Gefragt ist ein Zusammenspiel aus Technik, Produktverantwortung, Compliance und klarer unternehmerischer Organisation.