Der Cyber Resilience Act ist seit 2024 in Kraft, viele Pflichten greifen aber erst 2027. Am 11. September 2026 wird jedoch die erste davon bereits scharf gestellt: die Meldepflicht für Sicherheitslücken und Sicherheitsvorfälle.
Warum der 11. September für Hersteller relevant wird
Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, regelt die Cybersicherheit von Produkten mit digitalen Elementen und gilt damit für einen sehr breiten Kreis von Herstellern: von vernetzten Haushaltsgeräten und IoT-Sensoren über Industriesteuerungen bis hin zu Software, die eigenständig in den Verkehr gebracht wird. Die Verordnung ist bereits seit Dezember 2024 in Kraft, ihre Kernpflichten wie Security by Design, Schwachstellenmanagement über den gesamten Produktlebenszyklus und die CE-Kennzeichnung nach CRA-Vorgaben werden aber erst zum 11. Dezember 2027 vollständig anwendbar. Zwischen Inkrafttreten und Vollanwendbarkeit hat der Verordnungsgeber bewusst eine gestaffelte Zeitschiene eingezogen, und genau darin liegt die aktuelle Brisanz. Bereits ab dem 11. September 2026, deutlich vor der eigentlichen Vollanwendbarkeit, müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die eines ihrer Produkte mit digitalen Elementen betreffen. Für die betroffenen Unternehmen bedeutet das: Der CRA ist kein Compliance-Thema mehr für 2027, sondern eine Pflicht, die ab sofort zu beachten ist.
Was die neue Meldepflicht konkret verlangt
Die Meldepflicht ist mehrstufig aufgebaut und orientiert sich an ähnlichen Fristen, wie sie aus der NIS2-Richtlinie bekannt sind. Sie richtet sich aber nicht an Betreiber, sondern an Hersteller der betroffenen Produkte. Konkret sind folgende Schritte einzuhalten, sobald eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall bekannt wird:
• Frühwarnung innerhalb von 24 Stunden an das zuständige nationale CSIRT beziehungsweise an die ENISA über die vorgesehene zentrale Meldeplattform.
• Ausführlichere Folgemeldung innerhalb von 72 Stunden mit einer ersten Einschätzung von Schwere und Auswirkungen.
• Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme bei Schwachstellen beziehungsweise innerhalb eines Monats bei schwerwiegenden Sicherheitsvorfällen.
Wichtig ist die Abgrenzung zu benachbarten Meldepflichten: CRA-Meldungen sind produktbezogen und treffen Hersteller, während NIS2-Meldungen organisationsbezogen sind und Betreiber kritischer oder wichtiger Einrichtungen betreffen. Ein Beispiel aus der Praxis verdeutlicht das Zusammenspiel: Ein Hersteller von vernetzten Gebäudesteuerungen stellt fest, dass eine Schwachstelle in seiner Firmware aktiv ausgenutzt wird. Er ist als Hersteller zur CRA-Meldung verpflichtet, unabhängig davon, ob seine Kunden zusätzlich als Betreiber wesentlicher Einrichtungen selbst NIS2-pflichtig sind und den Vorfall aus ihrer eigenen Perspektive noch einmal melden müssen. Unternehmen, die beide Rollen ausfüllen, etwa weil sie eigene vernetzte Produkte herstellen und zugleich als IT-Dienstleister NIS2-pflichtig sind, sollten ihre Meldewege daher sauber trennen und dokumentieren, welche Meldung nach welcher Rechtsgrundlage erfolgt.
So unterstützt KREMER LEGAL bei der Umsetzung
Für die verbleibende Zeit empfiehlt sich ein zügiger Vorbereitungsprozess. KREMER LEGAL unterstützt Unternehmen dabei, zunächst den eigenen Produktkatalog auf den Anwendungsbereich des CRA zu prüfen und zu klären, welche Produkte tatsächlich als Produkte mit digitalen Elementen gelten und damit meldepflichtig werden können. Darauf aufbauend helfen wir bei der Ausgestaltung interner Melde- und Eskalationsprozesse, die die kurzen 24-Stunden- und 72-Stunden-Fristen praktisch abbildbar machen: Wer im Unternehmen eine Meldung an das CSIRT auslösen darf, wie eine Schwachstelle intern klassifiziert wird und wie die Übergabe zwischen IT-Sicherheitsteam, Produktverantwortlichen und Rechtsabteilung organisatorisch funktioniert, sollte jetzt festgelegt werden und nicht erst bei einem akuten Vorfall. Ebenso wichtig ist die saubere Abgrenzung zu bestehenden Meldepflichten aus der DSGVO, NIS2 und gegebenenfalls DORA, damit am Ende nicht mehrere parallele, widersprüchliche Meldewege entstehen und im Ernstfall wertvolle Zeit verloren geht. Auch die vertragliche Seite darf nicht fehlen: Wo Zulieferer, Importeure oder Vertriebspartner in die Produktkette eingebunden sind, sollten Informationspflichten über erkannte Schwachstellen bereits jetzt vertraglich klar geregelt werden, damit Ihr Unternehmen als Hersteller die eigenen Fristen überhaupt einhalten kann. Sprechen Sie uns an, wenn Sie prüfen möchten, ob und wie der Cyber Resilience Act Ihre Produkte betrifft und wie Sie die Meldeprozesse rechtzeitig vor dem 11. September aufsetzen.
KL | Ein Beitrag von Nils Grüttner