Was sich am 11. September 2026 geändert hat
Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) legt fest, wie sicher Produkte mit digitalen Elementen sein müssen, die in der EU verkauft werden: von der Industriesteuerung über den Router bis zur App. Die meisten Anforderungen gelten erst ab 11. Dezember 2027. Eine Pflicht ist aber bereits seit 11. September 2026 verbindlich: die Meldepflicht nach Artikel 14.
Hersteller müssen seither zwei Dinge melden:
- aktiv ausgenutzte Schwachstellen in ihren Produkten, also Sicherheitslücken, die nachweislich von Angreifern genutzt werden, und
- schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken.
Gemeldet wird über die Single Reporting Platform der EU-Cybersicherheitsagentur ENISA, die am 11. September 2026 in einer ersten Ausbaustufe gestartet ist. Die Meldung geht an das als Koordinator benannte CSIRT jenes Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat, und gleichzeitig an ENISA. Das CSIRT informiert die übrigen betroffenen Länder. Weitere Funktionen will ENISA in den kommenden Monaten ergänzen.
Die Fristen
Die Fristen beginnen, sobald der Hersteller von der Schwachstelle oder dem Vorfall Kenntnis erlangt. Laut EU-Kommission und Artikel 14 gilt:
| Stufe | ausgenutzte Schwachstelle | schwerwiegender Vorfall |
|---|---|---|
| Frühwarnung | innerhalb von 24 Stunden | innerhalb von 24 Stunden |
| Meldung mit ersten Details | innerhalb von 72 Stunden | innerhalb von 72 Stunden |
| Abschlussbericht | spätestens 14 Tage, nachdem eine Korrektur oder Abhilfe verfügbar ist | innerhalb eines Monats nach der 72-Stunden-Meldung |
Zusätzlich müssen Hersteller die betroffenen Nutzerinnen und Nutzer zeitnah über die Lücke oder den Vorfall und mögliche Schutzmaßnahmen informieren (Art. 14 Abs. 8).
Wichtig: Die Meldepflicht gilt auch für Produkte, die schon vor dem Stichtag auf den Markt gebracht wurden (Art. 69 Abs. 3). Wer also seit Jahren ein vernetztes Gerät oder eine Software verkauft, muss nicht bis 2027 warten.
Verstöße gegen Artikel 14 können mit Geldbußen von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden (Art. 64 Abs. 2). Für Kleinst- und Kleinunternehmen sieht Artikel 64 Abs. 10 eine Ausnahme vor: Wer die 24-Stunden-Frist für die Frühwarnung versäumt, wird dafür nicht mit einer Geldbuße belegt. Die Meldung selbst bleibt aber Pflicht.
Wer im Mittelstand betroffen ist
„Hersteller“ ist im CRA weit gefasst: Gemeint ist jedes Unternehmen, das ein Produkt mit digitalen Elementen entwickelt oder herstellen lässt und unter eigenem Namen oder eigener Marke vermarktet. Betroffen sein können zum Beispiel:
- Industrie und Maschinenbau, wenn Maschinen, Steuerungen oder Sensoren Software enthalten oder vernetzt sind,
- Elektronik- und Gerätehersteller, auch wenn das Gerät von einem Zulieferer stammt und nur unter eigener Marke verkauft wird,
- Softwarehäuser und Unternehmen mit eigener App, die sie an Kundinnen und Kunden verkaufen oder bereitstellen.
Einige Bereiche sind ausgenommen, weil eigene EU-Regeln gelten, etwa Medizinprodukte, Kraftfahrzeuge und Luftfahrt. Ob Ihr Produkt in den Anwendungsbereich fällt, klären Sie im Zweifel mit Ihrer Rechtsberatung oder Interessenvertretung. Dieser Beitrag ist keine Rechtsberatung.
Für betroffene Hersteller heißt das konkret: Es braucht einen klaren Prozess, wie Hinweise auf Schwachstellen eingehen, wer sie bewertet und wer innerhalb von 24 Stunden meldet – auch am Wochenende.
Was alle anderen davon haben: bessere Fragen beim Einkauf
Die meisten KMU, Kanzleien und Ordinationen stellen keine Produkte her, sondern kaufen sie: Firewalls, Drucker, Telefonanlagen, Branchensoftware, Kameras. Für sie ist der CRA vor allem ein Hebel beim Einkauf. Ab Dezember 2027 müssen Hersteller unter anderem
- einen Unterstützungszeitraum festlegen, in dem sie Sicherheitslücken beheben – grundsätzlich mindestens fünf Jahre, außer das Produkt wird erwartungsgemäß kürzer genutzt (Art. 13 Abs. 8),
- das Ende dieses Zeitraums (mindestens Monat und Jahr) beim Kauf klar angeben (Art. 13 Abs. 19),
- Sicherheitsupdates bereitstellen und eine Software-Stückliste (SBOM) für ihre technische Dokumentation führen (Anhang I Teil II).
Diese Fragen können Sie Ihren Lieferanten schon heute stellen.
Checkliste
Wenn Sie Hersteller sind:
- Produkte mit Software oder Netzwerkanbindung auflisten, auch ältere, die noch verkauft werden.
- Zuständigkeit und Vertretung für Meldungen festlegen; Zugang zur ENISA-Plattform vorbereiten.
- Eingangskanal für Schwachstellenhinweise einrichten (z. B. eigene Adresse, Richtlinie zur Offenlegung).
- Ablauf für 24 h / 72 h / Abschlussbericht und Kundeninformation schriftlich festhalten und üben.
Wenn Sie Käufer sind:
- Beim Lieferanten nachfragen: Wie lange gibt es Sicherheitsupdates? Bis wann genau?
- Update-Richtlinie anfordern: Wie werden Updates ausgeliefert, wie schnell, wie wird informiert?
- Fragen, ob eine SBOM oder zumindest eine Liste wesentlicher Komponenten verfügbar ist.
- Diese Punkte in Ausschreibungen und Bestellungen aufnehmen und das Supportende im Inventar vermerken.
Wie IT United unterstützt
Wir helfen dabei, den Überblick über Geräte und Software in Ihrem Unternehmen zu behalten – inklusive Supportende und Update-Stand. Bei der Beschaffung von Hardware und Software achten wir auf nachvollziehbare Update-Zusagen, und im Rahmen unserer IT-Security-Leistungen unterstützen wir beim regelmäßigen Einspielen von Updates. Herstellern helfen wir in der IT-Beratung bei der technischen Seite, etwa beim Aufbau eines Eingangskanals für Schwachstellenhinweise.
Sie möchten wissen, welche Geräte in Ihrem Betrieb wie lange noch Updates erhalten? Vereinbaren Sie ein kostenloses Erstgespräch – wir sehen uns das gemeinsam an.
