Cyber Resilience Act: Hersteller müssen Sicherheitsvorfälle ab sofort melden
Veröffentlicht am: 11.09.2026 um 11:00 Uhr | Redaktion boerse-global.de
Hersteller von Produkten mit digitalen Elementen müssen ab sofort schwerwiegende Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen innerhalb kürzester Zeit an die Behörden melden. Diese neue Verpflichtung basiert auf dem Cyber Resilience Act (CRA) der Europäischen Union, wobei die entsprechenden Meldepflichten gemäß Artikel 14 der Verordnung vorgezogen wurden. Die zentrale Meldung erfolgt über eine EU-weite Plattform.
Gestaffelte Meldefristen und zentrale Plattform
Die neuen Anforderungen sehen ein mehrstufiges Meldeverfahren vor. Hersteller sind verpflichtet, eine erste Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden eines Vorfalls oder einer Schwachstelle abzugeben. Innerhalb von 72 Stunden muss eine ausführliche beziehungsweise ergänzende Meldung folgen.
Der Prozess wird durch einen Abschlussbericht vervollständigt. Dieser ist 14 Tage nach der Umsetzung von Korrektur- oder Abhilfemaßnahmen einzureichen, bei besonders schwerwiegenden Vorfällen spätestens einen Monat nach der ersten Meldung.
Als technische Infrastruktur dient die ENISA Single Reporting Platform (SRP), die einen Zugang mittels EU-Login und Multi-Faktor-Authentisierung erfordert. Berichten zufolge geht diese zentrale Plattform erst zum entsprechenden Stichtag live.
Eine Vorab-Registrierung für Unternehmen oder Probeläufe des Systems waren im Vorfeld nicht vorgesehen. In Deutschland übernimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Rolle der zuständigen nationalen Behörde.
Umfang der Meldepflicht und Supportzeiträume
Die neuen EU-Vorgaben stellen Unternehmen vor komplexe Herausforderungen bei der Dokumentation und Risikoanalyse. Dieser kostenlose Leitfaden hilft Ihnen, die Anforderungen des EU AI Acts und ähnlicher Verordnungen frühzeitig zu verstehen und rechtssicher umzusetzen. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt
Die Regelung betrifft alle Hersteller von Produkten mit digitalen Elementen. Dies gilt unabhängig davon, ob das Unternehmen seinen Sitz innerhalb oder außerhalb der EU hat. Die Meldepflicht erstreckt sich zudem auf Produkte, die bereits vor dem 11.12.2027 in Verkehr gebracht wurden. Es wurde klargestellt, dass nicht jede identifizierte Schwachstelle meldepflichtig ist; entscheidendes Kriterium ist deren aktive Ausnutzung durch Dritte.
Neben der kurzfristigen Meldung von Vorfällen schreibt der CRA künftig Sicherheitsupdates über einen definierten Supportzeitraum vor. Dieser soll grundsätzlich mindestens 5 Jahre betragen oder der erwarteten Nutzungsdauer des Produkts entsprechen, falls diese kürzer ausfällt. In die Pflicht genommen werden dabei nicht nur die Hersteller selbst, sondern auch Vertreiber, Installateure, Beschaffer und Betreiber vernetzter Geräte.
Sanktionen und Ausnahmeregelungen für kleine Unternehmen
Bei Verstößen gegen die neuen Vorschriften drohen Bußgelder in Höhe von bis zu 15 Mio. Euro oder 2,5% des weltweiten Jahresumsatzes. Diese Sanktionen greifen jedoch erst ab dem 11.12.2027. Zu diesem Zeitpunkt werden auch weitere Anforderungen des CRA verbindlich, wie etwa die Erstellung von Software-Stücklisten (SBOMs) und umfassende Risikobewertungen.
Für Kleinst- und Kleinunternehmen bestehen Erleichterungen bei der Durchsetzung von Bußgeldern im Zusammenhang mit der 24-Stunden-Frist. Unternehmen mit weniger als 10 beziehungsweise 50 Beschäftigten sowie einem Jahresumsatz von unter 2 beziehungsweise 10 Mio. Euro sind von diesen spezifischen Strafzahlungen ausgenommen.
Wer sich mit den neuen digitalen Haftungsrisiken befasst, sollte auch die grundlegenden Sicherheitsvorgaben für vernetztes Arbeiten im Blick haben. Erfahren Sie in diesem kostenlosen Report, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um ihre IT-Sicherheit zukunftssicher aufzustellen. Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu?
Vorbereitungsstand in der deutschen Wirtschaft
Untersuchungen zeigen ein gemischtes Bild bei der Vorbereitung der betroffenen Unternehmen. Laut einer Bitkom-Umfrage unter 1.003 Unternehmen ab 10 Beschäftigten, die im Frühjahr 2026 durchgeführt wurde, haben zwar 67% der Befragten bereits vom Cyber Resilience Act gehört, doch nur 29% sind sich der konkreten Bedeutung für ihr eigenes Haus bewusst. Etwa 38% gaben an, die Folgen noch nicht einschätzen zu können, während 28% das Regelwerk bisher gar nicht kannten.
Eine weitere Studie von ONEKEY unter 200 deutschen Industrieunternehmen verdeutlicht die operativen Hürden. Demnach betrachten 62% der Unternehmen die 24-Stunden-Meldepflicht als große Herausforderung.
Dennoch haben bereits 61% der befragten Firmen Budgets für die Umsetzung geplant. Etwa 20% verfügen bereits über ein dediziertes CRA-Team, und 28% planen, bis zu 10 Mitarbeitende für die Einhaltung der neuen Sicherheitsvorgaben einzusetzen.
