Stand: 3. August 2026. Rechtsgrundlage: Verordnung (EU) 2024/2847 (Cyber Resilience Act).
Ein mittelständischer Hersteller aus dem Hamburger Umland baut Steuerungen für Kühlanlagen. Vernetzt, mit App-Anbindung, seit Jahren im Markt. Der Geschäftsführer hat sich mit NIS2 beschäftigt und festgestellt: sein Betrieb ist zu klein, er fällt nicht darunter. Er hat das Thema abgehakt.
Für den Cyber Resilience Act gilt diese Rechnung nicht. Er kennt keine Größenschwelle.
Was genau passiert am 11. September 2026?
An diesem Tag greifen die Meldepflichten nach Artikel 14 der Verordnung (EU) 2024/2847. Wer Produkte mit digitalen Elementen auf dem europäischen Markt anbietet, muss ab dann melden:
- aktiv ausgenutzte Schwachstellen in den eigenen Produkten
- schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts betreffen
Die Fristen sind knapp: eine erste Frühwarnung binnen 24 Stunden nach Kenntnis, eine ausführliche Meldung binnen 72 Stunden, ein Abschlussbericht nach 14 Tagen beziehungsweise einem Monat. Der Weg führt über die zentrale Meldeplattform der EU-Agentur für Cybersicherheit ENISA.
Parallel dazu braucht jeder Hersteller eine Kontaktstelle für Schwachstellenmeldungen, an die sich Sicherheitsforscher und Kunden wenden können. Auch das gilt ab dem 11. September.
Der Punkt, den viele überlesen: Bestandsprodukte
Die Meldepflicht bezieht sich nicht auf die nächste Produktgeneration. Sie gilt für das, was heute im Markt ist. Ein Gerät, das 2021 ausgeliefert wurde und noch bei Kunden läuft, fällt darunter.
Das ist der Unterschied zwischen "wir berücksichtigen das beim nächsten Release" und "wir brauchen jetzt einen Prozess".
Wer ist betroffen?
Der Anwendungsbereich ist bewusst weit gefasst. Erfasst sind Produkte mit digitalen Elementen, deren beabsichtigte Nutzung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk umfasst. Das reicht von der vernetzten Maschine über den Router bis zur ausgelieferten Software.
Drei Punkte zur Abgrenzung, die in der Praxis regelmäßig für Klarheit sorgen:
- Keine Größenschwelle. Anders als bei NIS2 gibt es keine Grenze bei 50 Mitarbeitenden. Der Zehn-Personen-Betrieb mit einem vernetzten Produkt ist erfasst.
- Reines Software-as-a-Service ist ausgenommen. Wer eine Anwendung nur im Browser betreibt, fällt nicht unter den Cyber Resilience Act, sondern gegebenenfalls unter NIS2. Sobald aber ein lokal installierter Client, ein Agent oder eine selbst betreibbare Variante ausgeliefert wird, ist das ein Produkt im Sinne der Verordnung.
- Sitz außerhalb der EU schützt nicht. Maßgeblich ist, ob das Produkt auf dem EU-Markt angeboten wird.
Für kleine und mittlere Unternehmen sieht die Verordnung eine Erleichterung vor: Verwaltungsstrafen für das Verpassen der 24-Stunden-Frist sind zunächst ausgesetzt. Die Pflicht selbst besteht trotzdem, und der Bußgeldrahmen der Verordnung (EU) 2024/2847 reicht bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Warum 24 Stunden das eigentliche Problem sind
Eine Meldefrist von 24 Stunden ist keine technische Anforderung. Sie ist eine organisatorische.
Wenn am Freitagabend ein Sicherheitsforscher schreibt, dass eine Schwachstelle in Ihrem Produkt ausgenutzt wird, entscheidet sich in den nächsten Stunden alles: Wer liest diese Nachricht? Wer darf entscheiden, dass gemeldet wird? Wer hat den Zugang zur Meldeplattform? Wer schreibt den Text?
Diese vier Fragen lassen sich nicht improvisieren. Beantwortet man sie vorher, ist die Meldung Routine. Beantwortet man sie im Ernstfall, verstreichen die 24 Stunden in Abstimmungsschleifen.
Was bis zum 11. September machbar ist
Ein realistisches Programm für die verbleibenden Wochen umfasst vier Schritte:
1. Produktliste erstellen. Welche Ihrer Produkte enthalten digitale Elemente, und welche davon sind noch im Markt oder im Support? 2. Kontaktstelle benennen und veröffentlichen. Eine erreichbare Adresse, eine zuständige Person, eine dokumentierte Vertretungsregelung. 3. Meldeweg festlegen. Wer entscheidet, wer meldet, welche Angaben liegen vorbereitet vor. 4. Einmal proben. Ein Durchlauf an einem erfundenen Fall zeigt in einer Stunde, was ein Jahr Theorie nicht zeigt.
Die volle Anwendung der Verordnung mit CE-Kennzeichnung und technischer Dokumentation folgt erst am 11. Dezember 2027. Bis dahin bleibt Zeit. Für die Meldebereitschaft nicht.
Der nächste Schritt
Wenn Sie nicht sicher sind, ob Ihre Produkte unter den Cyber Resilience Act fallen, ist die Produktliste der ehrlichste Anfang. Sie brauchen dafür keinen Berater und kein Portal, nur eine Stunde und Ihren Produktkatalog.
Die vier Schritte stehen als Ablaufplan zur CRA-Meldebereitschaft bereit. Ohne Anmeldung, ohne Verkaufsgespräch. Wenn danach Fragen offen sind, sprechen wir darüber.