Cyber Resilience Act ab 11. September 2026: Für Hersteller digitaler Produkte beginnt in der Europäischen Union eine zentrale neue Meldephase. Wie unsere Techify.de unter Berufung auf die Europäische Kommission berichtet, müssen Hersteller ab diesem Datum aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle bei Produkten mit digitalen Elementen melden. Betroffen ist ein breites Spektrum von Hard- und Software – darunter Router, vernetzte Haushaltsgeräte, Smart-Home-Produkte, mobile Anwendungen und Computerprogramme.
Die entscheidende Frist ist kurz: Eine erste Warnmeldung muss grundsätzlich innerhalb von 24 Stunden erfolgen, nachdem der Hersteller von einer meldepflichtigen Schwachstelle oder einem schweren Sicherheitsvorfall Kenntnis erlangt hat. Innerhalb von 72 Stunden folgt eine ausführlichere Meldung.
Damit greift am 11. September 2026 noch nicht der gesamte Cyber Resilience Act, sondern zunächst insbesondere die in Artikel 14 vorgesehenen Meldepflichten. Die übrigen zentralen Produktanforderungen der Verordnung werden grundsätzlich ab dem 11. Dezember 2027 vollständig anwendbar.
Was ab dem 11. September 2026 gemeldet werden muss
Der Cyber Resilience Act, offiziell die Verordnung (EU) 2024/2847, ist bereits am 10. Dezember 2024 in Kraft getreten. Sein Anwendungsbereich umfasst grundsätzlich Hardware- und Softwareprodukte mit digitalen Elementen, wenn deren vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk umfasst.
Ab dem 11. September 2026 müssen Hersteller insbesondere zwei Kategorien an die zuständigen Stellen melden:
- aktiv ausgenutzte Schwachstellen in einem Produkt mit digitalen Elementen;
- schwere Sicherheitsvorfälle, die Auswirkungen auf die Sicherheit eines solchen Produkts haben.
Eine Schwachstelle allein löst damit nicht automatisch dieselbe Meldepflicht aus. Für die Pflicht nach Artikel 14 ist bei Schwachstellen entscheidend, dass sie aktiv ausgenutzt werden. Die Europäische Kommission hat für die praktische Anwendung inzwischen zusätzliche Leitlinien veröffentlicht.
Die erste Meldung muss innerhalb von 24 Stunden nach Kenntniserlangung erfolgen. Eine vollständige Meldung ist innerhalb von 72 Stunden einzureichen. Bei einer aktiv ausgenutzten Schwachstelle muss anschließend spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme ein Abschlussbericht vorliegen. Bei schweren Sicherheitsvorfällen gilt für den Abschlussbericht grundsätzlich eine Frist von einem Monat nach der 72-Stunden-Meldung.
Meldungen laufen über eine zentrale EU-Plattform
Die Meldungen sollen nicht parallel an zahlreiche Behörden geschickt werden. Hersteller nutzen dafür die CRA Single Reporting Platform, die von der EU-Agentur für Cybersicherheit ENISA eingerichtet und betrieben wird. Nach Angaben der Europäischen Kommission soll die Plattform spätestens am 11. September 2026 betriebsbereit sein; Funktions- und Sicherheitstests laufen bereits.
Die Meldung richtet sich an das Computer Security Incident Response Team, kurz CSIRT, des Mitgliedstaates, in dem der Hersteller seine Hauptniederlassung hat. Die Informationen werden grundsätzlich gleichzeitig ENISA zugänglich gemacht. Das zunächst zuständige CSIRT leitet die Meldung anschließend an die CSIRTs weiterer Mitgliedstaaten weiter, in denen das betreffende Produkt auf dem Markt verfügbar ist. Nur unter besonderen, aus Cybersicherheitsgründen gerechtfertigten Umständen kann die Weitergabe verzögert werden.
Für Hersteller bedeutet dies einen EU-weit strukturierten Meldeweg mit festen Zeitfenstern statt einer offenen oder erst nachträglich bestimmten Reaktion auf aktiv ausgenutzte Schwachstellen.
Router, Apps und Smart-Home-Geräte fallen in den breiten CRA-Anwendungsbereich
Der CRA ist nicht auf klassische Computer oder Unternehmenssoftware begrenzt. Nach Angaben der Europäischen Kommission reicht die Produktpalette von Babyphones und Smartwatches bis zu Apps und Computerprogrammen. Das Bundesamt für Sicherheit in der Informationstechnik bezeichnet den CRA als erste europäische Verordnung, die ein Mindestmaß an Cybersicherheit für vernetzte Produkte festlegt.
Damit können beispielsweise folgende Produktgruppen erfasst sein:
- Router und andere vernetzbare Netzwerkgeräte;
- Apps und andere kommerziell bereitgestellte Software;
- Smart-TVs, Smartwatches und vernetztes Spielzeug;
- Smart-Home-Geräte wie Kameras, Steuerungen oder andere internetfähige Haushaltsprodukte;
- einzelne Hard- oder Softwarekomponenten, wenn sie separat auf dem EU-Markt bereitgestellt werden.
Entscheidend ist die rechtliche Definition des „Produkts mit digitalen Elementen“ und seine Bereitstellung auf dem europäischen Markt. Bestimmte Produktbereiche, die bereits speziellen EU-Regelungen unterliegen, sind vom allgemeinen CRA-Regime ausgenommen oder werden über andere Rechtsakte erfasst.
Die Meldepflicht betrifft auch bereits angebotene Produkte
Ein besonders relevanter Punkt für Hersteller: Die ab September 2026 geltenden Meldepflichten sind nicht ausschließlich auf Produkte beschränkt, die erst nach dem vollständigen Anwendungsbeginn des CRA Ende 2027 neu auf den Markt kommen.
Die Europäische Kommission erläutert ausdrücklich, dass die Reporting-Pflichten für Produkte mit digitalen Elementen gelten, die auf dem Unionsmarkt bereitgestellt wurden – einschließlich Produkten, die bereits vor dem 11. Dezember 2027 auf den Markt gebracht worden sind.
Damit müssen Hersteller ihre Prozesse für Vulnerability Management und Incident Response bereits 2026 auf die gesetzlichen Meldefristen ausrichten.
Sicherheitsupdates und Supportzeitraum werden ab Dezember 2027 zentral
Die Meldepflichten sind nur ein Teil des CRA. Die umfassenden Anforderungen an Entwicklung, Herstellung, Dokumentation und laufende Pflege digitaler Produkte gelten im Wesentlichen ab dem 11. Dezember 2027. Hersteller müssen dann eine Cybersicherheits-Risikobewertung durchführen und die vorgeschriebenen Sicherheitsanforderungen während Planung, Entwicklung, Produktion, Bereitstellung und Wartung berücksichtigen.
Zu den zentralen Pflichten gehört außerdem ein festgelegter Supportzeitraum. Während dieses Zeitraums muss der Hersteller Schwachstellen wirksam behandeln. Das Ende des Supportzeitraums – einschließlich Monat und Jahr – soll für Käufer klar angegeben werden. Sicherheitsupdates und das Management erkannter Schwachstellen werden damit Bestandteil einer gesetzlich geregelten Produktverantwortung.
BSI-Präsidentin Claudia Plattner fasste diesen Grundsatz bereits bei der Verabschiedung des CRA so zusammen:
„Künftig müssen Hersteller über den gesamten Lebenszyklus ihrer Produkte und Anwendungen die Verantwortung für deren Cybersicherheit übernehmen.“
(Claudia Plattner, Präsidentin des BSI, in einer Stellungnahme des Bundesamtes zum Cyber Resilience Act vom 10. Oktober 2024.)
CE-Kennzeichnung wird auch für CRA-Konformität relevant
Bevor ein Produkt mit digitalen Elementen unter dem vollständig anwendbaren CRA auf den europäischen Markt gebracht wird, muss der Hersteller das vorgesehene Konformitätsbewertungsverfahren durchführen. Bei erfolgreicher Prüfung wird eine EU-Konformitätserklärung erstellt und die CE-Kennzeichnung angebracht.
Bei zahlreichen Produkten kann eine interne Konformitätsbewertung ausreichen. Für bestimmte „wichtige“ oder „kritische“ Produktkategorien gelten strengere Verfahren, bei denen abhängig von Produktklasse und verwendeten Standards eine unabhängige Drittprüfung erforderlich sein kann.
Für Verbraucher wird damit künftig nicht nur die technische Produktsicherheit selbst relevant, sondern auch die Angabe, wie lange der Hersteller Sicherheitsunterstützung für das Produkt vorsieht.
EU-Kommission veröffentlicht neue Leitlinien vor dem Start der Meldepflichten
Am 27. Juli 2026 veröffentlichte die Europäische Kommission zusätzliche Leitlinien zur praktischen Umsetzung des Cyber Resilience Act. Sie behandeln unter anderem den Anwendungsbereich, wesentliche Änderungen an Produkten, Supportzeiträume, Risikobewertungen und die Meldepflichten.
Henna Virkkunen, Exekutiv-Vizepräsidentin der Europäischen Kommission für Technologische Souveränität, Sicherheit und Demokratie, erklärte dazu:
„A cyber-secure Europe and a business-friendly Europe go hand in hand.“
(Henna Virkkunen, Erklärung der Europäischen Kommission zur Veröffentlichung der CRA-Leitlinien, 27. Juli 2026.)
Die Kommission verweist dabei ausdrücklich auf den zweistufigen Zeitplan: Meldepflichten ab 11. September 2026, vollständige Anwendung der wesentlichen CRA-Vorgaben ab 11. Dezember 2027.
Was Hersteller jetzt konkret vorbereiten müssen
Für Unternehmen, die Router, Apps, Smart-Home-Geräte oder andere digitale Produkte auf dem EU-Markt anbieten, liegt der unmittelbar bevorstehende Schwerpunkt deshalb auf den Meldeprozessen.
Bis zum 11. September 2026 müssen insbesondere Abläufe vorhanden sein, mit denen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle schnell identifiziert, intern eskaliert und innerhalb der gesetzlichen Fristen über die Single Reporting Platform gemeldet werden können. Die 24-Stunden-Frist beginnt mit der Kenntnis des Herstellers und lässt entsprechend wenig Zeit für interne Abstimmungen.
Parallel läuft die Vorbereitung auf die vollständige CRA-Anwendung 2027: Risikobewertungen, technische Dokumentation, Konformitätsverfahren, Schwachstellenmanagement und klar definierte Supportzeiträume werden dann zu den Kernelementen der Produktkonformität.
Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: Apple Pay: „Karte konnte nicht hinzugefügt werden“ – diese Ursachen liegen nicht immer bei der Bank
