Der 11. September 2026 ist der Stichtag für die Meldepflichten des Cyber Resilience Act.
Stellen Sie sich vor, Sie stellen ein smartes Gerät, eine App oder Software her und verkaufen sie in der EU. Bisher gab es kaum EU-weite Regeln, was Sie bei Sicherheitsproblemen tun müssen. Das ändert sich ab September 2026: Dann tritt der Cyber Resilience Act (CRA) in Kraft, eine EU-Verordnung, die Hersteller digitaler Produkte verpflichtet, aktiv ausgenutzte Sicherheitslücken und Vorfälle innerhalb von 24 Stunden zu melden.
Der Cyber Resilience Act (CRA), auf Deutsch etwa "Gesetz zur Cyber-Widerstandsfähigkeit", ist die EU-Verordnung 2024/2847. Sie regelt EU-weit einheitlich, welche Cybersicherheits-Anforderungen Produkte mit digitalen Funktionen wie Router, Smart-Home-Geräte oder Software erfüllen müssen. Die Verordnung ist am 10. Dezember 2024 in Kraft getreten. Die meisten Pflichten gelten erst ab Dezember 2027. Doch die Meldepflichten nach Artikel 14 starten früher: Sie gelten ab dem 11. September 2026. Das betrifft Hersteller digitaler Produkte in der gesamten EU, auch viele mittelständische Unternehmen, die bisher keine vergleichbaren Prozesse etabliert haben.
Die EU-Kommission hat am 27. Juli 2026 erste Leitlinien mit 67 praktischen Beispielen veröffentlicht. Diese helfen bei der Auslegung, beantworten aber zum Beispiel nicht die Frage, ob Auftragsverarbeiter in der Lieferkette als Hersteller gelten. Für Unternehmen beginnt jetzt eine neue regulatorische Realität, die über die bisherigen Pflichten der NIS-Richtlinie (2016/1148) und der Funkanlagenrichtlinie hinausgeht.
Artikel 14 verlangt die Meldung aktiv genutzter Schwachstellen und schwerwiegender Vorfälle.
Die Meldepflichten des Artikels 14 CRA betreffen zwei Fälle: aktiv genutzte Schwachstellen und schwerwiegende Vorfälle (im Gesetz als "severe incidents" bezeichnet). Ein Hersteller muss eine Schwachstelle melden, wenn sie in seinem Produkt vorhanden ist und von Angreifern tatsächlich ausgenutzt wird. Ein schwerwiegender Vorfall ist ein Ereignis, das die Sicherheit des Produkts oder seiner Nutzer erheblich beeinträchtigt.
Die Fristen rechnen in Stunden. Für aktiv genutzte Schwachstellen gilt eine Frist von 24 Stunden nach Kenntnisnahme für die erste Meldung. Für schwerwiegende Vorfälle beträgt die Frist ebenfalls 24 Stunden. Anschließend folgen Zwischenberichte und ein Abschlussbericht. Die genauen Fristen für die Folgeberichte sind in den Leitlinien der Kommission erläutert.
Die Meldung erfolgt über eine zentrale Meldeplattform. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) richtet diese Plattform für Deutschland ein, sie soll voraussichtlich ab August 2026 aktiv sein. Hersteller müssen sich dort registrieren und ihre Meldungen einreichen.
Die Pflichten gelten für Hersteller, Importeure und Händler digitaler Produkte.
Der CRA erfasst Produkte mit digitalen Elementen. Dazu gehören Hardware wie Router und Smart-Home-Geräte, Software wie Betriebssysteme und Anwendungen sowie Produkte mit eingebetteter Software. Die meisten Produkte, von Haushaltsgeräten bis zu Computerspielen, durchlaufen eine Konformitätsbewertung, also eine offizielle Prüfung, ob das Produkt die Sicherheitsanforderungen der EU erfüllt.
Primär verantwortlich ist der Hersteller. Importeure und Händler haben Pflichten, wenn sie Produkte in die EU bringen oder vertreiben. Sie müssen sicherstellen, dass der Hersteller seine Meldepflichten erfüllt. Für mittelständische Unternehmen bedeutet das: Wer digitale Produkte herstellt oder importiert, muss sich mit Artikel 14 auseinandersetzen.
Die Abgrenzung zu NIS-2 ist wichtig. Der CRA regelt Produkte, NIS-2 betrifft Betreiber kritischer Infrastrukturen und wichtiger Einrichtungen. Ein Unternehmen kann von beiden Regimen erfasst sein. Ein Maschinenbauer, der als Betreiber unter NIS-2 fällt und gleichzeitig Maschinen mit Steuerungssoftware herstellt, muss beide Regelwerke beachten.
| Regelwerk | Geltungsbereich | Adressaten | Beispiel | Inkrafttreten |
|---|---|---|---|---|
| CRA | Produkte mit digitalen Elementen | Hersteller, Importeure, Händler | Router, Smart-Home-Geräte | Seit 10.12.2024, Meldepflichten ab 11.09.2026 |
| NIS-2 | Betreiber kritischer Infrastrukturen und wichtige Einrichtungen | Betreiber | Maschinenbauer als Betreiber | Sektorabhängig seit 2024 |
Die Leitlinien der EU-Kommission mit 67 Beispielen sind ein praktischer Kompass.
Die Leitlinien vom 27. Juli 2026 zu Artikel 14 CRA enthalten 67 praktische Beispiele. Sie zeigen, wie die Kommission verschiedene Fälle einordnet. Das hilft Herstellern, ihre eigenen Situationen zu bewerten und die richtigen Entscheidungen zu treffen.
Die Beispiele decken typische Fragen ab: Wann ist eine Schwachstelle aktiv genutzt? Was zählt als schwerwiegender Vorfall? Wie sind die Fristen zu berechnen? Die Leitlinien geben Antworten auf viele Alltagsfragen, die bei der Umsetzung entstehen.
Wir halten die Leitlinien für einen guten Ausgangspunkt, aber nicht für eine abschließende Antwort. Einige Auslegungsfragen bleiben offen, etwa bei komplexen Lieferketten oder bei der Zusammenarbeit mit externen Dienstleistern. Unternehmen sollten die Leitlinien als Grundlage nutzen und bei Unsicherheiten rechtlichen Rat einholen.
Praktische Schritte: Prozesse aufbauen, Verantwortlichkeiten klären, Tools einsetzen.
Zu den praktischen Schritten für die CRA-Meldepflichten ab 11. September 2026 gehören: (1) Bestandsaufnahme der betroffenen Produkte, (2) Aufbau von Erkennungs-, Bewertungs- und Meldeprozessen mit klaren Rollen, (3) Einführung eines Schwachstellenmanagement-Systems und eines Incident-Response-Plans, (4) Klärung der zuständigen notifizierten Stelle, (5) Registrierung auf der BSI-Plattform.
- Bestandsaufnahme: Welche Produkte fallen unter den CRA? Welche Schwachstellen und Vorfälle müssen gemeldet werden? Diese Fragen sollten Sie jetzt beantworten, nicht erst im September 2026.
- Prozesse aufbauen: Sie brauchen einen klaren Ablauf für die Erkennung, Bewertung und Meldung von Schwachstellen und Vorfällen. Definieren Sie Verantwortlichkeiten: Wer erkennt eine Schwachstelle? Wer bewertet sie? Wer meldet sie? Diese Rollen müssen benannt und geschult sein.
- Tools einsetzen: Ein Schwachstellenmanagement-System hilft, Schwachstellen zu erfassen und zu priorisieren, also eine Art laufend gepflegtes Inventar bekannter Sicherheitslücken. Ein Incident-Response-Plan beschreibt, wie Ihr Team auf Vorfälle reagiert, im Grunde ein Notfallplan für den Ernstfall. Automatisierte Meldeworkflows stellen sicher, dass die Fristen eingehalten werden.
- Notifizierte Stelle klären: Die Zusammenarbeit mit notifizierten Stellen ist für viele Produkte erforderlich. Das sind unabhängige Prüfstellen, die von der EU offiziell benannt werden und bewerten, ob ein Produkt die Sicherheitsanforderungen erfüllt. Klären Sie frühzeitig, welche Stelle für Ihre Produkte zuständig ist und welche Unterlagen benötigt werden.
- Auf der BSI-Plattform registrieren: Sobald die Plattform verfügbar ist, sollten Sie sich registrieren, um im Ernstfall schnell melden zu können.
Jetzt handeln, nicht abwarten: Ein früher Start zahlt sich aus.
Die Meldepflichten nach Artikel 14 CRA sind keine Zukunftsmusik. Sie gelten ab September 2026 und betreffen auch mittelständische Hersteller. Wer jetzt seine Prozesse aufbaut, vermeidet nicht nur Bußgelder, sondern stärkt das Vertrauen in seine Produkte und entlastet sein Team langfristig.
Ein früher Start hat mehrere Vorteile. Sie können Prozesse in Ruhe testen und verbessern, bevor die Fristen gelten. Sie vermeiden Hektik und Fehler, die unter Zeitdruck entstehen. Und Sie zeigen Kunden und Partnern, dass Sie Sicherheit ernst nehmen.
Die Kombination aus CRA und NIS-2 erfordert ein abgestimmtes Vorgehen. Viele Unternehmen sind sowohl als Hersteller als auch als Betreiber betroffen. Prüfen Sie, welche Pflichten für Ihr Unternehmen gelten, und stimmen Sie die Prozesse aufeinander ab. Normen wie ISO 27001 sind nicht gesetzlich verpflichtend, können aber Synergien bei der Umsetzung bieten.
Wir empfehlen, die Leitlinien der EU-Kommission zu studieren und die eigenen Prozesse daran auszurichten. Die 67 Beispiele sind ein praktischer Kompass, der viele Fragen beantwortet. Für die offenen Auslegungsfragen sollten Sie rechtlichen Rat einholen und sich mit Branchenverbänden austauschen.
Der Cyber Resilience Act verändert die Anforderungen an die Produktsicherheit grundlegend. Unternehmen, die jetzt handeln, sind gut vorbereitet. Wer abwartet, riskiert Bußgelder und Vertrauensverlust. Die Entscheidung liegt bei Ihnen.