Cyber Resilience Act: Neue Meldepflichten für Unternehmen ab September
Veröffentlicht am: 04.08.2026 um 01:48 Uhr | Redaktion boerse-global.de
Die Europäische Union verschärft die Sicherheitsanforderungen für vernetzte Hardware und Software massiv. Ab dem 11. September 2026 treten die ersten wesentlichen Bestimmungen des Cyber Resilience Act (CRA) in Kraft. Diese betreffen vor allem die Meldepflichten für Hersteller und Betriebe von Produkten mit Datenverbindung. Die vollständige Anwendung der Verordnung mit sämtlichen Produktpflichten ist für den 11. Dezember 2027 vorgesehen.
Stufenweise Meldepflichten und Support-Vorgaben
Die neuen Regelungen der EU-Kommission verpflichten Unternehmen dazu, Sicherheitsvorfälle und Schwachstellen in einem engen Zeitkorsett an die Behörden zu kommunizieren. Sobald ein Vorfall bekannt wird, muss eine erste Warnung innerhalb von 24 Stunden erfolgen. Die detaillierte Hauptmeldung ist innerhalb von 72 Stunden einzureichen, wobei weitere Fristen bis zu 14 Tage betragen können.
Diese Meldepflichten gelten nicht nur für neue Markteinführungen, sondern betreffen auch Bestandsprodukte, die bereits auf dem EU-Markt verfügbar sind. Zudem legt der CRA fest, dass Hersteller für ihre Produkte über einen Zeitraum von mindestens fünf Jahren Support und Sicherheitsupdates bereitstellen müssen. Damit soll die langfristige Integrität digitaler Infrastrukturen gewährleistet werden.
Leitfaden und Differenzierung der Produktgruppen
Zur Unterstützung der betroffenen Unternehmen veröffentlichte die EU-Kommission am 27. Juli 2026 einen umfangreichen Leitfaden. Auf über 80 Seiten werden die neuen Pflichten detailliert erläutert. Der CRA unterscheidet dabei zwischen verschiedenen Risikoklassen: Für herkömmliche digitale Produkte ist eine Selbstauskunft des Herstellers ausreichend, um die Konformität zu bestätigen. Produkte, die als kritisch oder wichtig eingestuft werden, müssen hingegen ein externes Audit durchlaufen.
Wer sich mit den neuen europäischen Sicherheitsvorgaben für digitale Produkte befasst, sollte auch die parallelen Anforderungen der KI-Verordnung im Blick behalten. Dieser kostenlose Umsetzungsleitfaden zum EU AI Act hilft Ihnen, Risikoklassen und Dokumentationspflichten frühzeitig zu verstehen. EU AI Act in 5 Schritten verstehen
Von den Regelungen sind grundsätzlich alle Unternehmen betroffen, die digitale Produkte auf dem EU-Market bereitstellen. Eine Besonderheit gilt für den Open-Source-Sektor: Quelloffene Software fällt nur dann unter die Bestimmungen des CRA, wenn sie im Rahmen einer kommerziellen Aktivität vertrieben oder genutzt wird.
Unterstützung für Unternehmen und Open-Source-Projekte
Angesichts der regulatorischen Herausforderungen sind bereits erste Hilfestellungen für die Wirtschaft verfügbar. Die EU-Cybersicherheitsagentur ENISA stellte Anfang August einen kostenlosen Selbsttest bereit, mit dem Unternehmen potenzielle Sicherheitslücken in ihren Prozessen identifizieren können. Auch in der Privatwirtschaft gibt es Angebote; so bietet die TBG-Automation seit Anfang des Monats einen CRA-Check an, der eine erste Einschätzung ohne vorherige Anmeldung ermöglicht.
Besonderes Augenmerk liegt auf der Lieferkette, da laut Branchenerhebungen rund 96 Prozent der kommerziellen Software Open-Source-Komponenten enthalten. Um die Konformität dieser Projekte sicherzustellen, kündigten die Eclipse Foundation und OWASP am 2. August 2026 eine strategische Zusammenarbeit an. Die Kooperation konzentriert sich auf fünf Kernbereiche, darunter die CRA-Readiness, die Unterstützung von Maintainern sowie die Aufklärung über neue Richtlinien und Interoperabilitätsstandards.
Die neuen gesetzlichen Anforderungen erhöhen den Druck auf die IT-Sicherheit in kleinen und mittelständischen Betrieben massiv. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihr Unternehmen proaktiv vor aktuellen Bedrohungen schützen können. Gratis-E-Book zur Cyber Security jetzt herunterladen
Proaktives Handeln über die Compliance hinaus
Fachleute mahnen zur frühzeitigen Vorbereitung. In Branchengesprächen wie im Podcast „Regulierung vs. Technik“ unterstrich der Experte Can Yildiz, dass die reine Erfüllung gesetzlicher Vorgaben nicht mit umfassender Sicherheit gleichzusetzen sei. Die Regulierung stelle lediglich ein Mindestmaß dar. Unternehmen seien gut beraten, über die Compliance hinaus proaktiv zu handeln, um ihre Systeme gegen Cyberangriffe zu wappnen.
Ab Dezember 2027 folgt die finale Phase des Roll-outs. Dann müssen sämtliche Produkte die Anforderungen an das sogenannte „Security by Design“ erfüllen, was bereits im Entwicklungsprozess eine Berücksichtigung von Sicherheitsaspekten zwingend voraussetzt.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
