Cyber Resilience Act: Meldepflicht für Schwachstellen ab September
Veröffentlicht am: 01.09.2026 um 05:04 Uhr | Redaktion boerse-global.de
Die Umsetzung des europäischen Cyber Resilience Act (CRA) rückt für die Industrie in eine kritische Phase. Ab September 2026 müssen Unternehmen aktive Schwachstellen in ihren Produkten innerhalb eng gefasster Zeitfenster an die Behörden melden. Bei Verstößen gegen diese neuen Transparenzvorschriften drohen empfindliche Sanktionen, die insbesondere für global agierende Konzerne weitreichende finanzielle Konsequenzen haben können.
Hersteller vernetzter Geräte und Softwareprodukte müssen sich auf eine signifikante Verschärfung des Haftungsrahmens einstellen. Wie aus Branchenkreisen und aktuellen Leitfäden hervorgeht, sieht der Cyber Resilience Act bei Missachtung der gesetzlichen Vorgaben Bußgelder von bis zu 15 Millionen Euro vor.
Alternativ kann eine Strafe in Höhe von 2,5 Prozent des gesamten weltweit erzielten Jahresumsatzes verhängt werden, wobei jeweils der höhere Betrag herangezogen wird. Diese drakonischen Maßnahmen unterstreichen das Ziel der Europäischen Union, die Cybersicherheit entlang der gesamten Lieferkette verbindlich zu verankern.
Stufenweise Meldepflichten ab September 2026
Der entscheidende Stichtag für die erste Phase der Umsetzung ist der 11. September 2026. Ab diesem Datum greifen spezifische Meldepflichten für Hersteller, die bei bekanntgewordenen Schwachstellen ein dreistufiges Verfahren einhalten müssen.
Den Anfang macht eine obligatorische Frühwarnung, die innerhalb von 24 Stunden nach Entdeckung einer aktiven Schwachstelle erfolgen muss. Darauf folgt innerhalb von 72 Stunden eine detaillierte Meldung des Vorfalls. Den Abschluss des Prozesses bildet ein umfassender Bericht nach Behebung des Problems.
Neue EU-Gesetze stellen Unternehmen vor wachsende Herausforderungen bei der Absicherung ihrer IT-Infrastruktur. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um Compliance-Risiken zu minimieren. Aktuelle Cyber-Security-Trends und Gesetze kostenlos entdecken
Eine besondere Herausforderung für die Wirtschaft stellt dabei der rückwirkende Charakter der Verordnung dar. Die Meldepflichten beschränken sich nicht nur auf Neuentwicklungen, sondern betreffen auch sogenannte Altprodukte, die sich bereits im Markt befinden – teilweise mit einem Verkaufsstart, der bis in das Jahr 2018 zurückreicht.
Zudem sind Nutzer der Produkte künftig verpflichtet, entsprechende Meldungen der Hersteller entgegenzunehmen, um zeitnah auf Sicherheitsrisiken reagieren zu können.
Haftungsfalle durch Open-Source-Komponenten
Experten für IT-Sicherheit weisen darauf hin, dass insbesondere die Verwendung älterer Softwarekomponenten zum Haftungsrisiko werden kann. Viele Unternehmen nutzen in ihren Produkten Open-Source-Bibliotheken, für die der offizielle Support bereits eingestellt wurde (End-of-Life).
Konkret genannt werden hierbei Frameworks und Bibliotheken wie AngularJS, Vue 2 oder ältere Versionen von jQuery. Da für diese Komponenten keine Sicherheitsupdates mehr bereitgestellt werden, verbleibende Schwachstellen aber meldepflichtig werden, erwächst daraus eine unmittelbare juristische und finanzielle Gefahr für die Hersteller.
Angesichts steigender Anforderungen an die Risikodokumentation und Produktsicherheit ist ein proaktiver Schutz vor digitalen Bedrohungen für Firmen essenziell. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen ohne hohe Investitionen erfüllen. Gratis E-Book: IT-Sicherheit im Unternehmen stärken
Trotz der nahenden Fristen gibt es auf administrativer Ebene noch ungeklärte Punkte. Die zentrale Plattform der EU-Agentur für Cybersicherheit (ENISA), über die die Meldungen abgewickelt werden sollen, wird voraussichtlich erst zum eigentlichen Stichtag im September 2026 den Betrieb aufnehmen.
Zudem befinden sich die harmonisierten Normen, die Herstellern rechtliche Sicherheit bei der Umsetzung geben sollen, derzeit noch in der Konsultationsphase.
Weiterführende Anforderungen im Jahr 2027
Während die Meldepflichten für Schwachstellen im Herbst 2026 aktiv werden, folgt ein zweiter wichtiger Meilenstein am 11. Dezember 2027. Ab diesem Zeitpunkt wird die vollständige Anwendung des CRA erwartet. Dies umfasst unter anderem die verpflichtende Durchführung von Konformitätsbewertungsverfahren und die Erstellung einer detaillierten Software-Stückliste (Software Bill of Materials, SBOM).
Zusätzlich müssen Hersteller bis dahin ein systematisches Schwachstellenmanagement etablieren und Risikobewertungen für ihre Produkte vorlegen. Diese Maßnahmen sind Voraussetzung für die CE-Kennzeichnung, ohne die vernetzte Produkte künftig nicht mehr im europäischen Binnenmarkt vertrieben werden dürfen.
Fachleute raten Unternehmen daher dazu, die verbleibende Zeit für eine Bestandsaufnahme ihrer Produktportfolios und die Klassifizierung der betroffenen Geräte zu nutzen.
