Cyber Resilience Act: Seit 11. September 2026 gelten erste Meldepflichten
Eine Schwachstelle in einem Ihrer Produkte wird aktiv ausgenutzt. Wer erfährt davon zuerst? Wer bewertet die Lage? Und wer entscheidet, ob und wie gemeldet werden muss? Seit dem 11. September 2026 sind das keine theoretischen Fragen mehr: Für Hersteller von Produkten mit digitalen Elementen gelten erste Meldepflichten nach dem Cyber Resilience Act (CRA).
Kurz gefasst: Der CRA ist seit dem 10. Dezember 2024 in Kraft. Seit dem 11. September 2026 gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Die wesentlichen weiteren Anforderungen werden ab dem 11. Dezember 2027 verbindlich.
Wer ist betroffen?
Der CRA betrifft nicht nur klassische IT-Hersteller. Betroffen sein können Unternehmen, die Hardware oder Software mit digitalen Elementen herstellen, importieren oder vertreiben:
- Software und Apps,
- vernetzte Geräte und IoT-Produkte,
- industrielle Komponenten, Maschinen und Steuerungen,
- Produkte, bei denen Cybersicherheit bisher eher „mitgedacht“ als systematisch gesteuert wurde.
Warum die Meldefrist so anspruchsvoll ist
Bei einem meldepflichtigen Fall kann schon die erste Frist von 24 Stunden sehr kurz sein. Entscheidend ist deshalb nicht allein, ob Ihr Team die Schwachstelle beheben kann, sondern ob Produktverantwortung, Entwicklung und Geschäftsführung wissen, wer in diesem Moment handelt.
Fragen, die Sie jetzt klären sollten
- Welche unserer Produkte fallen unter den CRA?
- Wie erkennen und bewerten wir aktiv ausgenutzte Schwachstellen?
- Wer entscheidet intern, ob ein Vorfall meldepflichtig ist?
- Welche technischen und organisatorischen Nachweise können wir liefern?
- Wie greifen ISMS, Produktentwicklung, Lieferantenmanagement und Incident Response ineinander?
Eine Richtlinie zu schreiben oder eine Checkliste abzulegen reicht nicht. Hersteller müssen nachvollziehbar zeigen, dass Cybersicherheit in Produktentwicklung, Schwachstellenmanagement, Risikobewertung, Dokumentation und Meldeprozesse eingebunden ist. Sicherheit wird damit Teil von Produktqualität, Marktverantwortung und künftig auch von Marktzugang.
Erste Orientierung: der CRA-Produkt-Check
Über unsere Initiative CyberSICHER in der Region bieten wir einen Online-Selbstcheck für Unternehmen an, die vernetzte Hardware oder Software herstellen, importieren oder verkaufen. Er gibt in etwa neun Minuten eine erste Orientierung, ersetzt aber keine individuelle fachliche oder rechtliche Prüfung.
Sind Ihre Produkte, Prozesse und Nachweise CRA-fähig? Wir prüfen das gemeinsam mit Ihnen.
