Seit dem 11. September 2026 gelten zentrale Meldepflichten des europäischen Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb enger Fristen melden.
Was muss gemeldet werden?
Der Cyber Resilience Act verlangt Meldungen zu aktiv ausgenutzten Schwachstellen sowie zu schweren Sicherheitsvorfällen, die die Sicherheit eines digitalen Produkts beeinträchtigen. Betroffen sind Hersteller von Hard- und Softwareprodukten mit digitalen Elementen, soweit sie unter den Anwendungsbereich der Verordnung fallen.
24 Stunden und 72 Stunden: Die neuen Fristen
Nach Kenntnis eines relevanten Vorfalls muss zunächst innerhalb von 24 Stunden eine Frühwarnung erfolgen. Innerhalb von 72 Stunden ist anschließend eine vollständigere Meldung erforderlich. Je nach Art des Ereignisses folgt später ein Abschlussbericht.
Meldung über die Single Reporting Platform
Die Meldung erfolgt über die von ENISA eingerichtete zentrale Meldeplattform. Unternehmen sollten deshalb nicht erst im Ernstfall klären, wer Zugriff hat und wer intern eine Meldung freigibt. Rollen und Eskalationswege gehören jetzt in den Incident-Response-Prozess.
Was Unternehmen vorbereiten sollten
Hersteller sollten Verantwortlichkeiten definieren, ihre Produkte und Softwarekomponenten inventarisieren, Schwachstellenprozesse dokumentieren und klare Kommunikationswege zwischen IT, Entwicklung, Management und gegebenenfalls Rechtsabteilung festlegen. Ohne diese Vorbereitung können die kurzen Meldefristen schnell zum Problem werden.
Secure by Design wird wichtiger
Der CRA macht deutlich, dass Produktsicherheit nicht erst nach einem Incident beginnt. Sicherheitsupdates, dokumentierte Abhängigkeiten, Schwachstellenmanagement und nachvollziehbare Release-Prozesse müssen bereits im Produktlebenszyklus berücksichtigt werden.
Passende Themen bei GORTNET: Cybersecurity und IT-Inventarisierung & Asset Management.
Fazit
Die CRA-Meldepflichten erhöhen den organisatorischen Druck, verbessern aber gleichzeitig die Transparenz über reale Sicherheitsvorfälle. Unternehmen, die Incident Response und Produktinventar sauber aufgebaut haben, können deutlich schneller reagieren.
Autor: Salman Dolatpanah Gortlar
Quelle: Europäische Kommission – Cyber Resilience Act Reporting Obligations, 2026.