Neue Meldepflicht startet 24-Stunden-Frist des Cyber Resilience Act gilt ab heute

Anbieter zum Thema

Genetec

Bitkom e.V.

cidaas by Widas ID GmbH

SEPPmail - Deutschland GmbH

Onapsis Europe GmbH

Seit heute müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden melden. Leider kennen einer Bitkom-Umfrage nach nur 29 Prozent der Unternehmen die Bedeutung des CRA für ihr Geschäft.

Seit heute, dem 11. September 2026, gelten die ersten Meldepflichten aus dem europäischen Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Sicherheitslücken in ihren Lösungen und schwerwiegende Sicherheitsvorfälle im Unternehmen innerhalb von 24 Stunden über die neue europäische Meldeplattform melden. Innerhalb von 72 Stunden müssen sie weitere Informationen nachreichen, anschließend folgen verpflichtende Abschlussberichte.

Cyber Resilience Act

Beim CRA müssen KMU selbst aktiv werden

Viele Unternehmen kennen ihre Pflichten nicht

Kurz vor dem Start der Meldepflichten war der CRA laut einer repräsentativen Bitkom-Umfrage in vielen Unternehmen noch nicht ausreichend verankert. 67 Prozent der 1.003 befragten Unternehmen mit mindestens zehn Beschäftigten haben zwar vom Cyber Resilience Act gehört. Nur 29 Prozent wissen nach eigener Einschätzung aber, welche Bedeutung das Gesetz für ihr eigenes Unternehmen hat. Weitere 38 Prozent kennen den CRA, können dessen Folgen aber nicht einordnen. 28 Prozent haben von der Verordnung noch nicht gehört.

„Grundsätzlich ist der Cyber Resilience Act wichtig für mehr Cybersicherheit in Europa. Erstmals gelten EU-weit verbindliche Mindestanforderungen für Produkte mit digitalen Funktionen, Security by Design wird zum Grundsatz. Höhere Standards verbessern den Schutz von Unternehmen, Verbraucherinnen und Verbrauchern, Lieferketten und kritischen Infrastrukturen“, erklärt Bitkom-Präsident Ralf Wintergerst. Der CRA könne aber nur Vertrauen schaffen, wenn Unternehmen die Vorgaben auch praktisch umsetzen könnten.

Ein Problem: Selbst vorbereitete Unternehmen konnten die vorgesehenen Meldewege bislang nicht erproben. Laut Bitkom war eine Registrierung auf der zentralen Plattform vor deren Start nicht möglich. Erst ab heute können Hersteller die neue Single Reporting Platform erreichen und ihre internen Prozesse gegen die tatsächlichen Meldewege prüfen.

Von Anfang an sicher

Die Vorteile von „Secure by Design“

Meldeprozesse und Verantwortlichkeiten festlegen

Für betroffene Hersteller reicht es nicht, Schwachstellen technisch zu erkennen. Sie müssen klären, wer eine mögliche aktive Ausnutzung bewertet, wer die Erstmeldung innerhalb der 24-Stunden-Frist freigibt und wie Informationen für die Folgemeldung nach 72 Stunden zusammengetragen werden. Dazu gehören technische Details zur Schwachstelle oder zum Vorfall, Angaben zu betroffenen Produkten sowie Informationen zu Gegenmaßnahmen und verfügbaren Updates.

Bitkom empfiehlt Unternehmen, sich kurzfristig mit Anwendungsbereich, Pflichten und Fristen des CRA auseinanderzusetzen. Der Verband stellt dafür eine Informationsseite bereit. Informationen zur europäischen Meldeplattform veröffentlicht auch die ENISA.

Alles zum Cyber Resilience Act – Teil 1

Warum Produkte cybersicher werden müssen

Fünf Fragen an Technologieanbieter

Der CRA verändert auch die Anforderungen an Anbieter vernetzter physischer Sicherheitstechnik, etwa für Zutrittskontrolle, Videoüberwachung oder andere vernetzte Systeme. Genetec, Anbieter von Lösungen für physische Sicherheit, weist darauf hin, dass nicht nur Hersteller, sondern auch Beschaffer, Betreiber und Systemintegratoren die Cybersicherheitspraktiken ihrer Technologiepartner bewerten sollten.

Mathieu Chevalier, Principal Security Architect bei Genetec, empfiehlt Sicherheitsverantwortlichen dafür insbesondere fünf Fragen zu stellen:

• Wie lange erhält das Produkt Sicherheitsupdates und Support?

• Wurde Cybersicherheit von Anfang an in das Produkt integriert?

• Wie identifiziert, kommuniziert und behebt der Anbieter Sicherheitslücken?

• Ist der Anbieter transparent in Bezug auf seine eigenen Cybersicherheitspraktiken?

• Wie unterstützt der Anbieter die langfristige Cyberresilienz?

Nach Darstellung von Genetec verpflichtet der CRA Hersteller, während des definierten Supportzeitraums Sicherheitsupdates bereitzustellen. Dieser beträgt grundsätzlich mindestens fünf Jahre oder – falls kürzer – die erwartete Nutzungsdauer des Produkts. Unternehmen sollten solche Aussagen künftig bereits bei der Beschaffung, Vertragsgestaltung und Bewertung von Lieferanten berücksichtigen.

Der heutige Start der Meldepflicht ist damit nur der erste operative Stichtag des Cyber Resilience Act. Hersteller benötigen belastbare Prozesse für Schwachstellenmanagement und Incident Response. Betreiber und Käufer digitaler Produkte sollten zugleich nachvollziehen können, wie lange ihre eingesetzten Lösungen unterstützt werden, wie Hersteller über Schwachstellen informieren und welche Sicherheitsupdates im Produktlebenszyklus verfügbar bleiben.

Alles zum Cyber Resilience Act – Teil 4

Konformität und Konsequenzen des CRA

(ID:50951722)