Cyber Resilience Act: Neue Meldepflichten ab 11. September
Veröffentlicht am: 20.07.2026 um 10:03 Uhr | Redaktion boerse-global.de
Besonders Cybersicherheit und Lieferketten-Management stehen im Fokus neuer Gesetze. Organisationen müssen sich auf strikte Meldepflichten und erweiterte Haftungsrisiken einstellen.
Strenge Zeitpläne für Sicherheitsmeldungen
Der Cyber Resilience Act (CRA) zwingt Unternehmen ab dem 11. September 2026 zum Handeln. Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle müssen gemeldet werden – und zwar schnell. Eine erste Frühwarnung ist innerhalb von 24 Stunden an Behörden wie die ENISA oder das CERT-Bund erforderlich. Nach 72 Stunden folgt ein detaillierter Zwischenbericht. Der abschließende Bericht muss 14 Tage nach der Behebung der Schwachstelle vorliegen.
Die Strafen sind empfindlich: Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes drohen bei Verstößen.
Ähnlich strikt sind die Vorgaben des Digital Operational Resilience Act (DORA). Einem ESMA-Jahresbericht vom Juni 2026 zufolge rücken die persönliche Haftung von Vorständen und Geschäftsführern in den Fokus. Auch das Management von Drittpartei-Risiken wird wichtiger. Die Meldefristen ähneln denen des CRA, wobei für den Abschlussbericht ein Monat vorgesehen ist. Analysten registrierten bereits über 3.300 gemeldete Vorfälle.
Lücken im Risikomanagement von Drittparteien
Trotz der steigenden Anforderungen hapert es in der Praxis. Ein BlueVoyant-Report zeigt erhebliche Defizite: 96 Prozent der befragten Unternehmen planen, ihr Lieferanten-Ökosystem auszubauen. Doch nur jedes zweite Unternehmen nutzt ein dezidiertes TPRM-System (Third Party Risk Management). Besonders kritisch: In 64 Prozent der Fälle liegt die Verantwortung für das Risikomanagement von Drittparteien außerhalb der IT – etwa im Einkauf.
Die Notwendigkeit automatisierter Prüfungen wird durch Standards wie ISO 27001, TISAX oder die NIS2-Richtlinie verstärkt. Letztere betrifft Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz in definierten Sektoren. Experten betonen: Die Überprüfung externer Partner muss nicht nur technische Aspekte abdecken, sondern auch wirtschaftliche Auffälligkeiten und Sanktionslisten. In der Praxis konnten so bereits Risiken bei IT-Dienstleistern identifiziert werden, die Verbindungen zu sanktionierten Netzwerken aufwiesen.
Angesichts immer strengerer Gesetze wie der NIS2-Richtlinie wird die proaktive Absicherung der IT-Infrastruktur für Unternehmer zur Pflicht. Dieses kostenlose E-Book enthüllt, wie Sie bestehende Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen rechtssicher erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Ethische Standards gewinnen an Bedeutung
Neben technischen Sicherheitsaspekten rücken ethische Rahmenbedingungen in den Fokus. In Vietnam verkündete die Regierung am 26. Juni 2026 mit dem Beschluss Nr. 1157/QD-TTg einen neuen Rahmen für ethische und kulturelle Standards in Unternehmen. Kernwerte wie Integrität, Transparenz und Verantwortung sollen alle Geschäftsbereiche durchdringen – von der Produktion bis zur Partnerwahl.
Gleichzeitig verschieben sich die beruflichen Sorgfaltsmaßstäbe. Ein rechtliches Statement des UKJT vom 7. Juli 2026 deutet an: Rechtsberater könnten künftig haften, wenn sie den Einsatz von Künstlicher Intelligenz (KI) vernachlässigen – obwohl ein vernünftiger Berufsträger dies zur Sorgfaltserfüllung getan hätte. Das gilt besonders für zeitintensive Aufgaben wie die Dokumentenprüfung. In Deutschland wird eine ähnliche Entwicklung über den dynamischen Sorgfaltsmaßstab des Bürgerlichen Gesetzbuches (§ 276 BGB) diskutiert.
Hürden bei der praktischen Umsetzung
Die Einführung neuer Systeme und Compliance-Strukturen stellt Unternehmen vor interne Herausforderungen. Am Beispiel von Hapag-Lloyd zeigt sich: Technische Umstellungen, etwa im Finanzbereich auf SAP S/4HANA, erfordern hohe Mitarbeiterakzeptanz. Fehlendes Produktinventar, fragmentiertes Monitoring und ungeklärte Verantwortlichkeiten gelten als häufige Hindernisse, um die gesetzlichen Meldefristen des Cyber Resilience Act einzuhalten.
Die Vernetzung mit externen Partnern und der Einsatz neuer Technologien bergen enorme Haftungsrisiken, die viele Betriebe noch unterschätzen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und digitalen Bedrohungen Unternehmer jetzt kennen müssen, um sich wirksam abzusichern. Neue KI-Gesetze und Cyberrisiken: Gratis-Report für Unternehmer
Auch im Arbeitsrecht bleiben klare Richtlinien essenziell. Juristen betonen: Die private Nutzung dienstlicher E-Mail-Postfächer ist nur bei expliziter Erlaubnis zulässig. Ohne eine solche Regelung riskieren Mitarbeiter bei Zuwiderhandlung arbeitsrechtliche Sanktionen. Arbeitgeber wiederum haben bei fehlenden Weisungen oft keine Kontrollmöglichkeiten.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
