Was ist der Cyber Resilience Act und wann gilt er?
Der Cyber Resilience Act (CRA, EU-Verordnung 2024/2847) ist eine EU-Verordnung, die horizontale, also branchenübergreifende, für alle Produktarten geltende Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen festlegt, gemeint sind Geräte und Software, die mit dem Internet oder anderen Geräten Daten austauschen, vom Router bis zur Smart-Home-Steckdose. Die Verordnung wird am 11. Dezember 2027 vollständig anwendbar. Sie tritt nicht als Ganzes auf einmal in Kraft. Die Melde- und Berichtspflichten für Hersteller von Produkten mit digitalen Elementen werden bereits am 11. September 2026 anwendbar, also mehr als ein Jahr vor der vollständigen Gültigkeit der Verordnung am 11. Dezember 2027. Wer diese Frist ignoriert, riskiert, die Anforderungen nicht rechtzeitig erfüllen zu können.
Dieser Beitrag erklärt, was ab September 2026 konkret verlangt wird, welche Unternehmen betroffen sind und wie Sie die Vorbereitung jetzt in Ihre Prozesse integrieren. Unser Ziel ist eine praxisnahe Orientierung, kein Juristendeutsch.
Was müssen Hersteller ab dem 11. September 2026 melden?
Ab dem 11. September 2026 gilt zunächst nur die Meldepflicht für aktiv ausgenutzte Schwachstellen in Produkten mit digitalen Elementen (Artikel 24 der Verordnung). Die Meldepflicht für schwerwiegende Sicherheitsvorfälle (Artikel 25) folgt erst am 11. Dezember 2026. Beide Meldungen gehen an die europäische Agentur für Cybersicherheit (ENISA), die auf EU-Ebene Vorfälle sammelt und koordiniert, und an das zuständige Computer Security Incident Response Team (CSIRT) des Mitgliedsstaats, die nationale Notfallstelle für IT-Sicherheitsvorfälle.
Die Fristen sind gestaffelt:
- Erstmeldung: innerhalb von 24 Stunden nach Kenntnisnahme an ENISA und CSIRT
- Detailbericht: nach 72 Stunden
- Abschlussbericht: nach 14 Tagen
Diese gestaffelten Fristen verlangen einen strukturierten Meldeweg, der im Ernstfall sofort funktioniert.
Die Meldepflichten sind Teil von Kapitel II (Abschnitt 3) der Verordnung. Ab Juni 2026 wird Kapitel IV der EU-Verordnung 2024/2847 relevant, zunächst für die Notifizierung von Konformitätsbewertungsstellen, also von staatlich anerkannten Stellen, die prüfen, ob ein Produkt die CRA-Anforderungen erfüllt, ab 11. September 2026 dann operativ für die Meldepflichten der Hersteller.
Wer ist von den CRA-Meldepflichten betroffen?
Von den CRA-Meldepflichten sind alle Hersteller, Importeure und Händler von Produkten mit digitalen Elementen betroffen, die diese in der EU in Verkehr bringen, auch Unternehmen mit Sitz außerhalb der EU, die dann einen Bevollmächtigten in der EU benennen müssen. Der Anwendungsbereich ist bewusst weit gefasst: Er gilt für alle Produkte mit digitalen Elementen, deren vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk beinhaltet. Dazu zählen neben klassischer Hardware wie Routern oder Smart-Home-Geräten auch Software und eingebettete Systeme.
Die Pflichten treffen Hersteller, Importeure und Händler. Entscheidend ist der Marktzugang: Auch Unternehmen mit Sitz außerhalb der Europäischen Union sind betroffen, wenn sie ihre Produkte in der EU in Verkehr bringen. Sie müssen einen Bevollmächtigten in der EU benennen, der die Kommunikation mit den Behörden übernimmt.
In Deutschland überwacht das Bundesamt für Sicherheit in der Informationstechnik (BSI), die deutsche Cybersicherheitsbehörde, die Einhaltung des CRA. Das BSI ist auch die zentrale Anlaufstelle für Meldungen deutscher Hersteller.
Wie bereiten Sie sich jetzt vor?
Die Vorbereitung auf die 24-Stunden-Meldepflicht umfasst vier konkrete Schritte: Produktinventur mit SBOM, Vulnerability-Management, definierte Meldewege mit Ernstfallübung sowie frühzeitige ENISA-Konto-Verifizierung. Wer die 24-Stunden-Frist einhalten will, kann nicht erst im Ernstfall mit der Organisation beginnen. Die Vorbereitung umfasst mehrere konkrete Schritte, die Sie jetzt angehen sollten.
- Produktinventur + SBOM erstellen: Erfassen Sie alle Produkte mit digitalen Elementen, die Sie herstellen oder in der EU in Verkehr bringen. Für jedes Produkt sollten Sie erfassen, welche Komponenten und Abhängigkeiten es enthält. Eine Software-Stückliste (SBOM, Software Bill of Materials) listet alle Bestandteile der Software auf und ermöglicht es, bei einer bekannten Schwachstelle schnell zu prüfen, ob Ihr Produkt betroffen ist. Mehr dazu in unserem SBOM-Leitfaden.
- Vulnerability-Management etablieren: Sie benötigen Prozesse, um Schwachstellen in Ihren Produkten zu identifizieren, zu bewerten und zu beheben. Dazu gehört auch ein Monitoring von Sicherheitsinformationen, etwa von Advisories der Komponentenhersteller. Unser Service-Artikel zum Vulnerability Management zeigt, wie Sie das aufbauen.
- Meldewege definieren + Ernstfallübung durchführen: Definieren Sie intern, wer für die Meldung verantwortlich ist und welche Informationen benötigt werden. Legen Sie fest, wie Sie die Schwere eines Vorfalls bewerten und welche Kriterien für eine Meldung gelten. Testen Sie den Prozess mit einer Übung, bevor der Ernstfall eintritt.
ENISA hat am 14. August 2026 eine Leitlinie zur Meldung veröffentlicht. Sie enthält praktische Hinweise zur Nutzung des Meldeportals. Beachten Sie, dass ein unverifiziertes Konto auf zehn Meldungen begrenzt ist. Eine frühzeitige Verifizierung Ihres Kontos ist daher sinnvoll.
Zeitplan bis Dezember 2027
Der CRA-Zeitplan: 11. September 2026, Meldepflichten aktiv ausgenutzte Schwachstellen (Art. 24); 11. Dezember 2026, Meldepflichten Vorfälle (Art. 25); 11. Dezember 2027, vollständige Anwendbarkeit mit SBOM-Pflicht. Die Meldepflichten sind kein isoliertes Ereignis. Sie sind der erste operative Teil des CRA, dem ab Dezember 2027 die vollständige Anwendbarkeit folgt. Dann gelten umfassende Anforderungen an die Cybersicherheit von Produkten, darunter die Pflicht zur Erstellung einer SBOM und erweiterte Dokumentationspflichten.
Viele Prozesse, die Sie für die Meldepflichten aufbauen, benötigen Sie auch für die spätere Konformität. Die Inventur Ihrer Produkte ist die Grundlage für die Risikobewertung. Das Schwachstellenmanagement ist die Basis für das Post-Market-Monitoring, also die laufende Beobachtung der Produkte nach der Markteinführung auf Sicherheitsprobleme, das ab 2027 verpflichtend ist. Wer jetzt investiert, schafft also eine solide Grundlage für die nächsten Schritte.
Der Mindest-Unterstützungszeitraum für Produkte beträgt im Regelfall fünf Jahre. In dieser Zeit müssen Sie Sicherheitsupdates bereitstellen und Schwachstellen beheben. Auch diese Anforderung sollten Sie bei der Produktplanung berücksichtigen.
Eine Roadmap zur Umsetzung des CRA umfasst typischerweise sechs Phasen: Produktinventur, Risikobewertung, Implementierung von Sicherheitsmaßnahmen, Dokumentation, Konformitätsbewertung und Post-Market-Monitoring. Die Meldepflichten betreffen vor allem die erste und die letzte Phase, also Inventur und Monitoring. Diese Phasen sollten Sie jetzt priorisieren.
Fazit: Der CRA als Treiber für mehr Sicherheitskultur
Der CRA ist eine Chance, die eigene Sicherheitslage zu professionalisieren. Unternehmen, die jetzt in Schwachstellenmanagement und Meldewege investieren, verbessern nicht nur ihre Compliance, sondern auch ihre Produktqualität und ihr Risikomanagement. Die Meldepflichten zwingen zu einer Transparenz, die langfristig Vertrauen schafft.
Die Vorbereitung auf den September 2026 ist überschaubar, wenn Sie strukturiert vorgehen. Beginnen Sie mit der Inventur, richten Sie das Schwachstellenmanagement ein und definieren Sie die Meldewege. Die Zeit bis zum Stichtag ist knapp, aber ausreichend, wenn Sie jetzt handeln.
Wer den CRA als entferntes Thema behandelt hat, steht nun vor konkreten operativen Anforderungen. Die gute Nachricht: Die meisten Maßnahmen sind ohnehin sinnvoll, unabhängig von der Regulierung. Ein Unternehmen, das seine Produkte und deren Schwachstellen kennt, ist besser aufgestellt, egal was kommt.
Der Cyber Resilience Act schließt eine Lücke im bestehenden Unionsrecht. Bisher gab es keinen horizontalen Rechtsrahmen für Cybersicherheitsanforderungen an alle Produkte mit digitalen Elementen. Der CRA ändert das und setzt einen gemeinsamen Standard. Wir begleiten Unternehmen bei der Umsetzung und helfen, die Anforderungen in bestehende Prozesse zu integrieren. Die Meldepflichten ab September 2026 sind der erste Schritt auf diesem Weg.