Cyber Resilience Act: Hersteller müssen Sicherheitslücken in 24 Stunden melden
Veröffentlicht am: 11.09.2026 um 21:52 Uhr | Redaktion boerse-global.de
Die Europäische Kommission beziffert die branchenweiten Kosten für die Umsetzung des Cyber Resilience Act (CRA) auf rund 29 Milliarden Euro. Nach aktuellen Schätzungen entspricht diese Summe etwa 2 Prozent des gesamten Branchenumsatzes. Die Prognose fällt zusammen mit dem Inkrafttreten vorgezogener Meldepflichten für Hersteller digitaler Produkte, die ab sofort bei Sicherheitsvorfällen und Schwachstellen zur aktiven Information verpflichtet sind.
Gestaffelte Meldefristen für Sicherheitsvorfälle
Hersteller vernetzter Geräte und digitaler Anwendungen müssen künftig bei der Entdeckung aktiv ausgenutzter Schwachstellen oder schwerer Sicherheitsvorfälle innerhalb enger Zeitfenster handeln. Eine erste Frühwarnung ist demnach bereits binnen 24 Stunden nach Bekanntwerden eines Vorfalls erforderlich. Diese Frist dient dazu, die zuständigen Behörden schnellstmöglich über potenzielle Risiken in Kenntnis zu setzen.
An diese erste Meldung schließt sich eine weitere Verpflichtung an: Innerhalb von 72 Stunden müssen die betroffenen Unternehmen detaillierte Informationen zum Vorfall nachreichen. Ein abschließender Bericht ist fällig, sobald Korrekturmaßnahmen, wie etwa das Bereitstellen eines Software-Patches, abgeschlossen sind.
Hierfür sieht der Gesetzgeber eine Frist von 14 Tagen nach der Fehlerbehebung vor. Bei besonders schwerwiegenden Vorfällen wird der Abschlussbericht innerhalb eines Monats erwartet.
Neue EU-Gesetze wie der CRA bringen komplexe Cyberrisiken und rechtliche Pflichten mit sich, die Unternehmer jetzt genau kennen müssen. Dieser kostenlose Report klärt auf, welche Maßnahmen für den langfristigen Schutz Ihres Unternehmens jetzt entscheidend sind. Gratis-Report zu Cyber Security Trends herunterladen
Die Meldungen erfolgen zentral über die neu eingerichtete CRA Single Reporting Platform (CRA-SRP), die von der EU-Agentur für Cybersicherheit (ENISA) betrieben wird. Die Plattform ging zeitgleich mit dem Stichtag in den Live-Betrieb, wobei vorab keine Registrierungen oder Probeläufe möglich waren.
Die eingehenden Informationen werden an die ENISA sowie das jeweils zuständige nationale Computer-Notfallteam (CSIRT) weitergeleitet. In Deutschland übernimmt das CERT-Bund beim Bundesamt für Sicherheit in der Informationstechnik (BSI) diese koordinierende Funktion.
Reichweite und Informationspflichten gegenüber Nutzern
Die neuen Vorgaben betreffen sämtliche Produkte mit digitalen Elementen, die im EU-Binnenmarkt vertrieben werden. Dies schließt ausdrücklich auch Geräte ein, die bereits verkauft wurden und sich im Einsatz befinden. Gemäß Artikel 14 Absatz 8 der Verordnung sind Hersteller zudem dazu verpflichtet, nicht nur Behörden, sondern auch die Nutzer ihrer Produkte über Sicherheitsrisiken zu informieren.
Für Unternehmen, die keine Hauptniederlassung innerhalb der Europäischen Union unterhalten, greifen spezifische Kriterien. Diese verpflichten Bevollmächtigte, Importeure oder Händler zur Einhaltung der Meldekette, um die Sicherheit digitaler Produkte im europäischen Markt zu gewährleisten.
Wer sich mit der Absicherung digitaler Prozesse befasst, sollte auch die menschliche Komponente der IT-Sicherheit nicht vernachlässigen. Erfahren Sie in diesem kostenlosen Paket, wie Sie Ihr Unternehmen in 4 Schritten gegen aktuelle Phishing-Methoden und psychologische Manipulation schützen. Anti-Phishing-Paket jetzt kostenlos sichern
Vorbereitungsstand und wirtschaftliche Auswirkungen
Branchenverbände und Marktbeobachter bewerten die Bereitschaft der Wirtschaft derzeit als heterogen. Der Verband Bitkom ermittelte in einer Befragung unter 1.003 Unternehmen mit mindestens zehn Beschäftigten und einem Mindestumsatz von einer Million Euro, dass zwar 67 Prozent der Befragten den Cyber Resilience Act kennen, jedoch nur 29 Prozent die konkrete Bedeutung für das eigene Haus einschätzen können. Rund 38 Prozent der Unternehmen gaben an, die Folgen noch nicht bewerten zu können, während 28 Prozent die Regulierung gänzlich unbekannt war.
Eine weitere Studie des Dienstleisters ONEKEY unter 200 deutschen Industrieunternehmen zeigt, dass bereits 20 Prozent der Firmen spezialisierte CRA-Teams gebildet haben. Etwa 28 Prozent der Unternehmen planen demnach den Einsatz von bis zu zehn Mitarbeitern für die Einhaltung der neuen Regeln, während 61 Prozent der Befragten bereits entsprechende Budgets für die Umsetzung reserviert haben.
Übergangsfristen für Vollanforderungen und Sanktionen
Während die Meldepflichten für Schwachstellen bereits wirksam sind, gewährt die EU für weitere Kernaspekte des Gesetzes längere Übergangsfristen. Die umfassenden Anforderungen an die CE-Kennzeichnung, die verpflichtende Konformitätserklärung sowie das Führen einer Software-Stückliste (SBOM) greifen erst ab dem 11. Dezember 2027 für neu angebotene Geräte.
Der Verband VDE weist in diesem Zusammenhang darauf hin, dass die CE-Kennzeichnung künftig nur noch vergeben werden darf, wenn alle Cybersecurity-Anforderungen erfüllt sind. Auch das Sanktionsregime tritt erst zum 11. Dezember 2027 vollumfänglich in Kraft. Bei Verstößen drohen den Herstellern dann empfindliche Bußgelder von bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des weltweiten Jahresumsatzes.
