Cyber Resilience Act: Ab heute gelten neue Meldepflichten für Hersteller digitaler Produkte

Stichtag 11. September 2026: Der Cyber Resilience Act tritt in Kraft

Heute, am 11. September 2026, beginnt eine neue Ära der Cybersicherheitsregulierung in der Europäischen Union. Mit dem Inkrafttreten der Meldepflichten des Cyber Resilience Act (CRA) müssen Hersteller von Produkten mit digitalen Elementen – von vernetzten Industriemaschinen über Smart-Home-Geräte bis hin zu Unternehmenssoftware – aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle innerhalb strikter Fristen melden. Wer die Pflichten ignoriert, riskiert Bussgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Für viele deutsche Unternehmen kommt dieser Stichtag nicht überraschend – und doch zeigen Branchenbeobachter, dass ein erheblicher Teil der betroffenen Hersteller noch nicht vollständig vorbereitet ist. Dieser Artikel erklärt, was ab heute gilt, wen es betrifft und welche konkreten Maßnahmen jetzt erforderlich sind.

Hintergrund: Was ist der Cyber Resilience Act?

Der Cyber Resilience Act ist eine EU-Verordnung, die im November 2024 in Kraft trat und schrittweise verbindlich wird. Ziel ist es, die Cybersicherheit von Produkten mit digitalen Elementen – also Hardware und Software, die mit dem Internet oder anderen Netzwerken verbunden sind – über den gesamten Lebenszyklus hinweg zu gewährleisten. Der CRA ergänzt bestehende Regelwerke wie die NIS2-Richtlinie (in Deutschland seit Dezember 2025 in Kraft) und den EU AI Act.

Die Verordnung gilt für alle Hersteller, Importeure und Händler, die solche Produkte auf dem EU-Markt anbieten – unabhängig davon, ob sie ihren Sitz in der EU haben oder nicht. Für deutsche Unternehmen, die Produkte mit digitalen Elementen herstellen oder importieren, ist der CRA damit unmittelbar relevant.

Was ab dem 11. September 2026 gilt

Die dreistufigen Meldepflichten

Ab heute müssen Hersteller bei Bekanntwerden von aktiv ausgenutzten Schwachstellen oder schwerwiegenden Sicherheitsvorfällen ein mehrstufiges Meldeverfahren einhalten:

Stufe 1 – Frühmeldung (24 Stunden): Innerhalb von 24 Stunden nach Kenntnisnahme muss eine erste Meldung an die EU-Agentur für Cybersicherheit (ENISA) und das zuständige nationale CSIRT (Computer Security Incident Response Team) erfolgen. In Deutschland ist das BSI (Bundesamt für Sicherheit in der Informationstechnik) die zentrale Anlaufstelle.

Stufe 2 – Detaillierte Meldung (72 Stunden): Innerhalb von 72 Stunden ist eine ausführliche Meldung über die zentrale Single Reporting Platform (SRP) der ENISA einzureichen. Diese muss Angaben zur Art der Schwachstelle, den betroffenen Produkten und Versionen sowie zu ersten Gegenmaßnahmen enthalten.

Stufe 3 – Abschlussbericht: Bei aktiv ausgenutzten Schwachstellen ist ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme vorzulegen. Bei schwerwiegenden Sicherheitsvorfällen gilt eine Frist von einem Monat nach der detaillierten Meldung.

Wen betrifft der CRA?

Die Meldepflichten gelten für Hersteller von Produkten mit digitalen Elementen – also Produkte, die Software enthalten oder mit Netzwerken verbunden sind. Dazu gehören:

• Industrielle Steuerungssysteme und SCADA-Systeme
• Vernetzte Maschinen und IoT-Geräte
• Unternehmenssoftware und SaaS-Lösungen
• Router, Switches und Netzwerkgeräte
• Smartphones, Tablets und Laptops (sofern hergestellt oder importiert)
• Medizinprodukte mit digitalen Komponenten

Kleinstunternehmen (weniger als 10 Mitarbeiter und weniger als 2 Millionen Euro Jahresumsatz) sind von Bussgeldern für die Nichteinhaltung der Meldefristen befreit – nicht jedoch von den Meldepflichten selbst.

Auswirkungen auf den Mittelstand

Für den deutschen Mittelstand – insbesondere Maschinenbauer, Automatisierungsunternehmen und Softwarehersteller – bedeutet der CRA einen erheblichen organisatorischen Aufwand. Die Herausforderung liegt weniger in der technischen Erkennung von Schwachstellen als in der Fähigkeit, diese innerhalb der engen Fristen zu melden und zu dokumentieren.

Organisatorische Anforderungen

Product Security Incident Response Team (PSIRT): Unternehmen benötigen klare interne Strukturen, um Sicherheitsmeldungen zu empfangen, zu bewerten und zu eskalieren. Ohne ein dediziertes PSIRT – oder zumindest klar definierte Verantwortlichkeiten – ist die 24-Stunden-Frist kaum einzuhalten.

Software Bill of Materials (SBOM): Eine aktuelle Software-Stückliste ist essenziell, um bei Bekanntwerden einer Schwachstelle (z. B. in einer Open-Source-Bibliothek) schnell identifizieren zu können, welche Produkte und Versionen betroffen sind. Ohne SBOM kann die Analyse Tage dauern – Zeit, die der CRA nicht lässt.

Coordinated Vulnerability Disclosure (CVD): Unternehmen müssen Meldekanale für externe Sicherheitsforscher einrichten, die Schwachstellen verantwortungsvoll offenlegen möchten. Ein öffentlich zugängliches security.txt-Dokument und ein definierter Prozess sind Mindestanforderungen.

Chancen und Risiken

Chancen

Vertrauensgewinn bei Kunden: Unternehmen, die transparent und schnell auf Sicherheitsvorfälle reagieren, stärken das Vertrauen ihrer Kunden. In B2B-Märkten, wo Cybersicherheit zunehmend ein Kaufkriterium ist, kann CRA-Konformität zum Wettbewerbsvorteil werden.

Interne Sicherheitsverbesserung: Der Aufbau von PSIRT-Strukturen und SBOM-Prozessen verbessert nicht nur die Compliance, sondern auch die tatsächliche Sicherheitslage des Unternehmens. Viele Unternehmen entdecken dabei Schwachstellen, die sie ohne den regulatorischen Druck nie gefunden hätten.

Marktdifferenzierung: Wer CRA-Konformität nachweisen kann, hat einen Vorteil bei öffentlichen Ausschreibungen und bei Kunden in regulierten Branchen (Energie, Gesundheit, Finanzen).

Risiken

Reputationsschaden durch Meldungen: Öffentlich bekannte Sicherheitsvorfälle können das Unternehmensimage beschädigen. Unternehmen müssen Kommunikationsstrategien entwickeln, die Transparenz mit Schadensbegrenzung verbinden.

Ressourcenaufwand: Die Einrichtung von PSIRT, SBOM und CVD-Prozessen erfordert Zeit und Fachkompetenz – beides ist im Mittelstand oft knapp. Externe Dienstleister und Managed Security Service Provider (MSSPs) können hier entlasten.

Haftungsrisiken: Bei Nichteinhaltung drohen nicht nur Bussgelder, sondern auch zivilrechtliche Haftungsansprüche von Kunden, die durch Sicherheitslücken geschädigt wurden.

Handlungsempfehlungen

1. Sofortmaßnahme: Meldeprozess definieren. Legen Sie noch heute fest, wer im Unternehmen für die Erstmeldung an BSI und ENISA verantwortlich ist. Erstellen Sie eine Checkliste für die 24-Stunden-Meldung und testen Sie den Prozess in einer Übung.

2. SBOM aufbauen. Beginnen Sie mit einer Inventarisierung aller in Ihren Produkten verwendeten Software-Komponenten. Tools wie OWASP Dependency-Track oder Anchore helfen bei der automatisierten SBOM-Erstellung und -Pflege.

3. security.txt implementieren. Veröffentlichen Sie eine security.txt-Datei auf Ihrer Website (gemäß RFC 9116), die Sicherheitsforschern zeigt, wie sie Schwachstellen melden können. Das ist in wenigen Stunden umgesetzt und signalisiert Professionalität.

4. Externe Unterstützung prüfen. Wenn interne Ressourcen fehlen, beauftragen Sie einen MSSP oder eine auf CRA-Compliance spezialisierte Beratung. Die Kosten sind überschaubar im Vergleich zu möglichen Bussgeldern.

5. Ausblick 2027 im Blick behalten. Am 11. Dezember 2027 tritt der CRA vollständig in Kraft – dann gelten auch Anforderungen an CE-Kennzeichnung, kontinuierliche Risikobewertung und Sicherheitsupdates über den gesamten Produktlebenszyklus. Nutzen Sie die verbleibende Zeit für eine umfassende Vorbereitung.

Fazit: Compliance als Chance begreifen

Der Cyber Resilience Act ist kein bürokratisches Hindernis, sondern eine Chance, Cybersicherheit als strategischen Unternehmenswert zu etablieren. Unternehmen, die heute in Prozesse, Strukturen und Transparenz investieren, werden morgen widerstandsfähiger gegen Cyberangriffe sein – und gleichzeitig das Vertrauen ihrer Kunden stärken. Der Stichtag 11. September 2026 ist nicht das Ende einer Schonfrist, sondern der Beginn einer neuen Sicherheitskultur in der europäischen Wirtschaft.