Meldebereit bis zum 11. September

Am 11. September 2026 greifen die Meldepflichten des Cyber Resilience Act. Wer Produkte mit digitalen Elementen anbietet, muss ab dann binnen 24 Stunden melden können. Es gibt keine Größenschwelle, und die Pflicht gilt auch für Produkte, die längst im Markt sind.

Was Sie bekommen

1. Produktinventar. Welche Ihrer Produkte enthalten digitale Elemente, welche sind noch im Support, wo sitzen lokale Komponenten wie App, Client oder Firmware. Ergebnis ist eine Liste, die die Betroffenheit pro Produkt beantwortet statt pauschal fürs Unternehmen.
2. Kontaktstelle für Schwachstellenmeldungen. Benannte Person mit Vertretung, überwachte Meldeadresse, veröffentlichte Meldepolitik und eine security.txt nach RFC 9116, damit Sicherheitsforscher den Weg finden.
3. Meldeweg 24 / 72 / 14. Entscheidungsbaum, namentliche Zuständigkeit inklusive Wochenendregelung, vorbereitete Meldetexte für alle drei Stufen und der dokumentierte Zugangsweg zur ENISA-Meldeplattform mit benannter Zuständigkeit für die Registrierung, sobald diese öffnet.
4. Ein Probelauf mit der Uhr. Ein erfundener Fall, komplett durchgespielt. Er zeigt in einer Stunde, was ein Jahr Theorie nicht zeigt.
5. Übergabemappe. Alles als Dokument, das Sie behalten und ohne uns fortführen. Kein Abo, keine Datenhaltung bei uns.

Was es kostet

Festpreis für ein Paket mit festem Umfang. Keine Stundenabrechnung, kein Tagessatz, kein Nachschlag für Rückfragen. Die Bearbeitungszeit ist die Lieferzeit bis zur Übergabemappe, nicht die Grundlage der Abrechnung. Nach § 19 UStG wird keine Umsatzsteuer berechnet.

Wie der Ablauf aussieht

• Sie schreiben uns mit der Zahl Ihrer Produkte. Sie bekommen eine Auftragsbestätigung mit Festpreis und Termin.
• Sie senden die Produktliste und die Namen der Zuständigen. Mehr brauchen wir nicht, um zu beginnen.
• Wir arbeiten und melden uns bei Rückfragen schriftlich.
• Sie erhalten die Übergabemappe und den Probelauf-Bericht. Rechnung danach.

Ein Telefonat ist möglich, aber nicht nötig. Der gesamte Ablauf funktioniert schriftlich, und die meisten Fragen lassen sich so sogar genauer beantworten.

Was wir ausdrücklich nicht liefern

• Keine CE-Kennzeichnung. Die Konformitätsbewertung ist ein eigenes, deutlich größeres Vorhaben und erst zum 11. Dezember 2027 verbindlich.
• Keine technische Dokumentation im Sinne der Verordnung und keine SBOM-Erstellung.
• Keine Rechtsberatung. Wir bilden den Ablauf ab. Die Bewertung eines konkreten Einzelfalls gehört zu einem Anwalt.
• Kein Zertifikat. Es gibt keins, und wir stellen keins aus. Wer Ihnen eines verkauft, verkauft Ihnen Papier ohne Adressaten.
• Keinen getesteten Plattformzugang. Die Meldeplattform der ENISA soll zum 11. September öffnen und ist bis dahin nicht zugänglich. Wir dokumentieren den Weg und benennen, wer die Registrierung übernimmt. Wer Ihnen heute einen getesteten Zugang zusagt, hat ihn nicht getestet.

Bin ich überhaupt betroffen?

Das können Sie in einer Stunde selbst herausfinden, kostenlos und ohne uns. Der Ablaufplan in vier Schritten führt Sie durch die Prüfung. Wenn dabei herauskommt, dass Sie nicht betroffen sind, haben Sie eine Stunde investiert und Klarheit gewonnen.

Wir sagen Ihnen auch dann, dass Sie uns nicht brauchen, wenn wir zu diesem Ergebnis kommen. Ein Auftrag, der niemandem nützt, schadet uns mehr als er einbringt.

NIS2 ist eine andere Pflicht und wird hier nicht mitgeprüft: Der Cyber Resilience Act betrifft Hersteller von Produkten, NIS2 betrifft Unternehmen als Betreiber. Ob Sie zusätzlich unter NIS2 fallen, sagt Ihnen der NIS2-Schnell-Check in zwei Minuten, ohne Anmeldung.