Cyber Resilience Act: Neue Meldepflichten für Hersteller ab 11. September
Veröffentlicht am: 07.09.2026 um 17:07 Uhr | Redaktion boerse-global.de
Ab dem 11. September 2026 treten in der Europäischen Union neue Meldepflichten für Hersteller digitaler Produkte in Kraft. Im Rahmen des Cyber Resilience Act (CRA) sind Unternehmen dann verpflichtet, aktiv ausgenutzte Schwachstellen in ihren Systemen an die zuständigen Behörden zu kommunizieren.
Diese Neuregelung markiert einen entscheidenden Schritt in der europäischen Cybersicherheitsstrategie und erhöht den Druck auf die Unternehmen, ihre Prozesse zur Fehlererkennung und Berichterstattung zu professionalisieren.
Stufenweise Berichterstattung und strenge Fristen
Die neuen Vorgaben sehen ein mehrstufiges Meldesystem vor, um eine frühzeitige Warnung vor Sicherheitsrisiken zu gewährleisten. Eine erste Frühwarnung muss bereits innerhalb von 24 Stunden nach Bekanntwerden einer ausgenutzten Schwachstelle erfolgen.
Eine detaillierte Meldung ist nach 72 Stunden erforderlich. Den Abschluss des Prozesses bildet ein ausführlicher Bericht, der spätestens 14 Tage nach der Bereitstellung eines entsprechenden Sicherheitsupdates eingereicht werden muss.
Diese Pflichten betreffen eine breite Palette an Produkten und machen auch vor kostenlosen Anwendungen keinen Halt. So unterliegen auch Anbieter kostenloser Apps den strengen Transparenzvorgaben, sofern sie im europäischen Markt agieren.
Langfristige Anforderungen und drohende Bußgelder
Zusätzlich zu den unmittelbaren Meldepflichten sieht der Cyber Resilience Act weitere technische Anforderungen vor, die ab dem 11. Dezember 2027 verbindlich werden. Ab diesem Zeitpunkt müssen Produkte eine CE-Kennzeichnung tragen, die die Einhaltung der Sicherheitsstandards belegt. Hersteller werden zudem verpflichtet, für einen Zeitraum von mindestens fünf Jahren kostenfreie Sicherheitsupdates bereitzustellen.
Angesichts der verschärften Meldepflichten und gesetzlichen Vorgaben rückt die proaktive Absicherung der IT-Infrastruktur immer stärker in den Fokus. Dieser kostenlose Ratgeber unterstützt Unternehmen dabei, Sicherheitslücken frühzeitig zu schließen und neue regulatorische Anforderungen effizient umzusetzen. IT-Sicherheit stärken und gesetzliche Anforderungen erfüllen
Verstöße gegen diese Richtlinien können erhebliche finanzielle Konsequenzen haben. Der gesetzliche Rahmen sieht Bußgelder von bis zu 15 Millionen Euro oder alternativ bis zu 2,5 Prozent des weltweiten Jahresumsatzes vor. Damit reiht sich der CRA in die Riege strenger EU-Regulierungen wie der NIS2-Richtlinie ein, die ebenfalls weite Teile der Wirtschaft erfasst.
Berichten zufolge kann die NIS2-Richtlinie aufgrund ihrer Kriterien zur Unternehmensgröße sogar Branchen wie die Lebensmittelproduktion oder Hersteller von Weihnachtsbaumbeleuchtungen betreffen.
Die tschechische EU-Abgeordnete Marketa Gregorova gab in diesem Zusammenhang zu bedenken, dass man etwa Eiscremehersteller in einer Krise nicht zwingend zur kritischen Infrastruktur zählen müsse. Dennoch verdeutlichen solche Beispiele die enorme Reichweite der neuen Compliance-Anforderungen.
Qualifizierung als Reaktion auf steigende Anforderungen
Der steigende regulatorische Druck sowie die Komplexität moderner IT-Systeme erhöhen den Bedarf an qualifiziertem Fachpersonal. Bildungsorganisationen wie EXIN reagieren auf diese Entwicklung mit neuen Zertifizierungen.
Wer sich mit der Absicherung moderner Technologien befasst, muss heute auch die rechtlichen Leitplanken auf europäischer Ebene genau kennen. Ein kompakter Umsetzungsleitfaden bietet hier eine wertvolle Orientierungshilfe zu Risikoklassen, Dokumentationspflichten und den geltenden Übergangsfristen. Kostenloses E-Book zum EU AI Act herunterladen
Das Programm zum „AI Security Professional“ (AISP) richtet sich gezielt an Sicherheits- und Datenschutzverantwortliche sowie Risikoanalysten. Die Inhalte dieser Zertifizierung basieren auf der OWASP AI Exchange, an deren Entwicklung über 165 Experten beteiligt waren, und fließen in internationale Standards wie die ISO/IEC 27090 sowie in das EU-KI-Gesetz ein.
Auch der TÜV-Verband treibt die Standardisierung voran und entwickelt ein Rahmenprogramm mit drei spezifischen KI-Zertifizierungen, die mit dem EU AI Act kompatibel sind. Ein Marktstart ist für Ende 2026 geplant, wobei sich das Programm derzeit in der Pilotphase befindet. Der Bedarf an unabhängigen Prüfungen wird durch aktuelle Stimmungsbilder unterstrichen.
Laut der TÜV KI-Studie aus dem Jahr 2025 fürchteten 79 Prozent der Bundesbürger unkalkulierbare Risiken durch künstliche Intelligenz. Zudem gaben in der repräsentativen Umfrage lediglich 53 Prozent der Nutzer an, auf korrekte Ergebnisse der Systeme zu vertrauen. Eine unabhängige Zertifizierung soll hier künftig als Nachweis für Sicherheit und Zuverlässigkeit dienen.
