Cyber Resilience Act: Hersteller müssen Sicherheitslücken binnen 24 Stunden melden
Veröffentlicht am: 06.11.2026 um 20:43 Uhr | Redaktion boerse-global.de
Hersteller von Produkten mit digitalen Elementen unterliegen seit dem 11. September 2026 neuen gesetzlichen Vorgaben zur Meldung von Sicherheitslücken. Seit diesem Stichtag müssen aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle verpflichtend an die zuständigen Stellen übermittelt werden.
Die rechtliche Grundlage für diesen Schritt bildet die europäische Verordnung (EU) 2024/2847, bekannt als Cyber Resilience Act (CRA), die am 10. Dezember 2024 in Kraft getreten ist.
Zweistufiges Meldeverfahren über zentrale Plattform
Die Vorgaben verlangen von betroffenen Unternehmen eine schnelle und koordinierte Reaktion bei Vorfällen. Das Verfahren ist zweistufig aufgebaut: Sobald ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schweren Sicherheitsvorfall erlangt, muss innerhalb von 24 Stunden eine erste Frühwarnung abgegeben werden. Innerhalb von 72 Stunden nach Bekanntwerden hat eine vollständige Detailmeldung zu folgen.
Die Übermittlung dieser Berichte erfolgt über die zentrale Meldeplattform der Europäischen Agentur für Cybersicherheit (ENISA). Mit dieser einheitlichen Schnittstelle soll sichergestellt werden, dass relevante Informationen unverzüglich an die zuständigen nationalen Behörden und Computer-Notfallteams weitergeleitet werden, um grenzüberschreitende Gefahren frühzeitig einzudämmen.
Vorgaben für Produktlebenszyklus und Support
Neben den Meldefristen legt der Cyber Resilience Act langfristige Pflichten für den gesamten Produktlebenszyklus fest. Hersteller müssen für ihre Produkte in der Regel einen Supportzeitraum von mindestens fünf Jahren gewährleisten, sofern nicht ausdrücklich eine kürzere reguläre Nutzungsdauer vorgesehen ist.
Neben dem Cyber Resilience Act stellen auch neue KI-Gesetze und veränderte Cyberrisiken Unternehmen vor komplexe rechtliche Herausforderungen. Dieser kostenlose Report klärt auf, welche Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um ihre IT-Sicherheit zukunftssicher aufzustellen. Kostenlosen Cyber-Security-Report jetzt herunterladen
Während dieser Phase sind Sicherheitsupdates und die Behebung bekannter Schwachstellen sicherzustellen, um den Schutz vernetzter Geräte im Markt dauerhaft aufrechtzuerhalten.
Unternehmen müssen ihre internen Prozesse zur Erkennung von Sicherheitsrisiken und zum Schwachstellenmanagement entsprechend anpassen. Neben technischen Schutzmechanismen bei der Produktentwicklung betrifft dies vor allem die Fähigkeit, Vorfälle im laufenden Betrieb lückenlos zu dokumentieren und fristgerecht zu melden.
Weitere Fristen und drohende Sanktionen
Während die Meldepflichten für Sicherheitsvorfälle bereits gelten, treten die umfassenden Hauptpflichten der Verordnung erst mit einer zeitlichen Verzögerung in Kraft.
Wer sich mit der Absicherung digitaler Prozesse befasst, sollte auch die Anforderungen an den Einsatz künstlicher Intelligenz frühzeitig im Blick haben. Der kostenlose Umsetzungsleitfaden zum EU AI Act bietet einen kompakten Überblick über alle neuen Anforderungen, Pflichten und Fristen für Unternehmen. EU AI Act Leitfaden kostenlos sichern
Ab dem 11. Dezember 2027 müssen alle neuen digitalen Produkte, die auf dem Unionsmarkt bereitgestellt werden, vollständig den grundlegenden Cybersicherheitsanforderungen des CRA entsprechen. Flankierend dazu greift ab Januar 2027 die europäische Maschinenverordnung (Verordnung (EU) 2023/1230), die zusätzliche Cybersicherheitsanforderungen an bestimmte Maschinen und zugehörige Komponenten stellt.
Mit dem vollständigen Inkrafttreten der Hauptpflichten am 11. Dezember 2027 treten auch die im CRA definierten Sanktionsmechanismen in Kraft. Nach Artikel 64 der Verordnung können Verstöße gegen zentrale Bestimmungen mit Geldbußen von bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, wobei der jeweils höhere Betrag maßgeblich ist.
Zudem eröffnet Artikel 65 des CRA ab demselben Datum die Möglichkeit von Verbandsklagen, womit qualifizierte Einrichtungen Rechtsverstöße von Herstellern gerichtlich verfolgen können.
