EU Cyber Resilience Act (CRA): Meldepflicht beginnt am 11. September
Die Meldung aktiv ausgenutzter Schwachstellen an die ENISA bei Produkten mit digitalen Elementen beginnt im September 2026; eine vollständige Konformitätsbewertung einschließlich CE-Kennzeichnung wird ab Dezember 2027 verpflichtend.
Das Cyber-Resilience-Gesetz (CRA) führt EU-weite Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein. Der Anwendungsbereich ist breit: Die meisten verbindungsfähigen Hardware- und Softwareprodukte fallen darunter, unabhängig davon, ob es sich um Verbraucherprodukte handelt.
Der früheste Teil des Gesetzes, der zur Anwendung kommt, ist die Meldepflicht. Hersteller sind verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über einen festgelegten Kanal an die zuständigen Behörden zu melden; dies ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess.
Die auf die Meldung folgende Phase ist die Anwendung der Produktanforderungen und der Konformitätsbewertung. Die Vorbereitung auf die Meldung ist daher auch der richtige Zeitpunkt, um die Produktsicherheitsdokumentation und die Aktualisierungsrichtlinie aufzubauen.
Wann trat das Gesetz in Kraft und wann gilt es vollständig
Das Cyber-Resilience-Gesetz trat als Verordnung (EU) 2024/2847 am 10. Dezember 2024 in Kraft. Inkrafttreten und Beginn der Anwendbarkeit der Pflichten sind jedoch nicht dasselbe: Die Verordnung legt einen gestaffelten Zeitplan fest, wonach der Hersteller zunächst mit der Meldepflicht und danach mit den Produktanforderungen konfrontiert wird.
Der erste anwendbare Teil ist die ab dem 11. September 2026 geltende Meldepflicht. Der Rest der Verordnung — die grundlegenden Cybersicherheitsanforderungen, die Konformitätsbewertung, die technische Dokumentation und die CE-Kennzeichnung — gilt ab dem 11. Dezember 2027 vollständig.
Die fünfzehn Monate zwischen diesen beiden Terminen sind keine Wartezeit, sondern eine Vorbereitungszeit. Da die Meldepflicht einen bereits funktionierenden Schwachstellenmanagementprozess voraussetzt, bildet die 2026 aufzubauende Infrastruktur auch die Grundlage für die 2027 geforderte Dokumentation.
Wer fällt in den Geltungsbereich
Der Anwendungsbereich wird durch die Art des Produkts und nicht durch die Produktkategorie bestimmt: Der Begriff "Produkt mit digitalen Elementen" umfasst Hardware- und Softwareprodukte, die direkt oder indirekt eine Datenverbindung zu einem Gerät oder Netzwerk herstellen können. Es muss kein Verbraucherprodukt sein; auch Industrieausrüstung, Komponenten und eigenständige Software können darunterfallen.
Die Verordnung klassifiziert Produkte nach Risikostufe, und mit steigender Klasse nimmt die Rolle eines Dritten bei der Konformitätsbewertung zu. Die erste Aufgabe besteht daher darin, festzustellen, in welche Klasse das Produkt fällt — die Klasse bestimmt alle weiteren Entscheidungen (Eigenerklärung oder benannte Stelle).
Die Annahme, dass ein Produkt außerhalb des Anwendungsbereichs liegt, ist riskant: Auch ein Gerät ohne Cloud-Verbindung, das mit einer mobilen App gekoppelt ist, besitzt ein digitales Element. In Grenzfällen erweist sich die schriftliche Dokumentation der Entscheidung samt Begründung bei einer späteren Prüfung als das nützlichste Dokument.
Wie die Meldung funktioniert
Ab dem 11. September 2026 sind Hersteller verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit des Produkts betreffen, zu melden. Die Meldung erfolgt über die einheitliche Meldeplattform der ENISA gleichzeitig an das zuständige nationale CSIRT und an die ENISA.
Die Meldung endet nicht mit dem Ausfüllen eines einzigen Formulars: Sie erfolgt gestaffelt als Frühwarnung, dann als detailliertere Meldung und, wenn der Prozess abgeschlossen ist, als Abschlussbericht. Dies erfordert, dass im Voraus festgelegt wird, wer in den ersten Stunden eines Vorfalls welche Informationen sammelt.
Die praktische Konsequenz ist: Meldung ist keine Compliance-Klausel, sondern ein operativer Vorgang. Ist die Bereitschaftsregelung, der Kommunikationskanal, der Entscheidungsträger und die Meldevorlage nicht bereit, kann die Meldung nicht fristgerecht erfolgen.
Die Vollzugsseite
Die Verordnung sieht Bußgelder für Verstöße gegen die grundlegenden Cybersicherheitsanforderungen und die Meldeklauseln vor; die Obergrenze ist mit 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes festgelegt — es gilt der höhere Betrag.
Eine weitere, ebenso wichtige Konsequenz wie das Bußgeldrisiko ist der Marktzugang: Ein Produkt, dessen Konformität nicht nachgewiesen werden kann, darf nicht auf dem EU-Markt bereitgestellt werden, und die Marktüberwachungsbehörde kann Maßnahmen bis hin zum Rückruf ergreifen.
Was sich jetzt zu tun lohnt
Die Erstellung eines Produktinventars und die Feststellung, welches Produkt digitale Elemente aufweist und in welche Klasse es fällt, ist der einzige Schritt, der den gesamten Zeitplan planbar macht. Ohne Inventar beruht jede weitere Aufgabe auf Vermutungen.
Der zweite Schritt ist die Bekanntgabe des Unterstützungszeitraums und die schriftliche Festlegung der Aktualisierungsrichtlinie. Diese gehören zu den Anforderungen für 2027, benötigen aber wegen der damit verbundenen kaufmännischen Entscheidungen am meisten Zeit.
Der dritte Schritt ist die Einrichtung des Meldekanals für Schwachstellen: sowohl eine Adresse zur Entgegennahme externer Meldungen als auch ein interner Ablauf zu deren Bewertung. Ohne diesen Ablauf funktioniert die Meldung für 2026 nicht.
Was ist zu tun?
- 1Bestimmen Sie, ob Ihre Produkte in den Anwendungsbereich des CRA fallen.
- 2Richten Sie einen Prozess für die Melde von Schwachstellen und Vorfällen mit klar definiertem Verantwortlichen, Kanal und Zeitrahmen ein.
- 3Legen Sie Ihre Sicherheitsupdate-Richtlinie und Ihren Unterstützungszeitraum schriftlich fest.
Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Wie eine Vorschrift auf Ihr Produkt angewendet wird, hängt von den technischen Merkmalen des Produkts und dem Zielmarkt ab; der genaue Geltungsbereich kann nur durch Prüfung des Produkts bestimmt werden.