CRA-Meldebereitschaft in vier Schritten

Worum es geht

Am 11. September 2026 greifen die Meldepflichten des Cyber Resilience Act. Wer Produkte mit digitalen Elementen auf dem EU-Markt anbietet, muss ab dann aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Zusätzlich braucht jeder Hersteller eine Kontaktstelle für Schwachstellenmeldungen.

Zwei Punkte, die regelmäßig übersehen werden: Es gibt keine Größenschwelle, anders als bei NIS2. Und die Pflicht gilt auch für Bestandsprodukte, nicht erst für die nächste Generation.

Die Fristen im Ernstfall

• 24 Stunden nach Kenntnis: erste Frühwarnung
• 72 Stunden: ausführliche Meldung
• 14 Tage nach Behebung beziehungsweise ein Monat nach dem Vorfall: Abschlussbericht

Die Meldung läuft über die zentrale Plattform der EU-Agentur für Cybersicherheit ENISA.

Die vier Schritte

1. Produktliste erstellen. Welche Ihrer Produkte enthalten digitale Elemente, und welche davon sind noch im Markt oder im Support? Notieren Sie je Produkt: Datenverbindung ja oder nein, Supportstatus, lokale Komponenten wie Client, App oder Firmware, und wer im Haus zuständig ist.
2. Kontaktstelle benennen und veröffentlichen. Eine erreichbare Adresse, eine namentlich zuständige Person, eine dokumentierte Vertretung. Veröffentlichen Sie den Weg dorthin so, dass Sicherheitsforscher ihn finden, etwa über eine security.txt nach RFC 9116.
3. Meldeweg festlegen. Klären Sie vier Fragen schriftlich: Wer liest eingehende Meldungen? Wer entscheidet, dass gemeldet wird? Wer hat Zugang zur Meldeplattform? Wer verfasst den Text? Regeln Sie Wochenende und Urlaub mit.
4. Einmal proben. Spielen Sie einen erfundenen Fall mit der Uhr durch. Ein Durchlauf zeigt in einer Stunde, was ein Jahr Theorie nicht zeigt, meistens dass der Zugang zur Plattform bei einer einzigen Person liegt.

Fällt mein Produkt überhaupt darunter?

• Ja, wahrscheinlich: vernetzte Maschinen und Steuerungen, Geräte mit App-Anbindung, ausgelieferte Software, Firmware, Router und Netzwerktechnik.
• Nein, in der Regel nicht: reines Software-as-a-Service, das nur im Browser läuft. Dafür kann NIS2 gelten.
• Genau hinsehen: Sobald zu einem Dienst ein lokaler Client, ein Agent oder eine selbst betreibbare Variante ausgeliefert wird, ist das ein Produkt im Sinne der Verordnung.
• Sitz außerhalb der EU ändert nichts. Maßgeblich ist, ob das Produkt auf dem EU-Markt angeboten wird.

Wenn Sie bei Schritt 1 nicht innerhalb einer Stunde zu einer vollständigen Liste kommen, ist das bereits das Ergebnis: Dann fehlt die Grundlage, auf der alles Weitere aufbaut.

Was auf Sie zukommt und was noch nicht

Ab dem 11. September 2026 gelten Meldepflicht und Kontaktstelle. Die übrigen Anforderungen der Verordnung, darunter CE-Kennzeichnung und technische Dokumentation, werden erst zum 11. Dezember 2027 verbindlich. Dafür bleibt Zeit. Für die Meldebereitschaft nicht.

Für kleine und mittlere Unternehmen sind Verwaltungsstrafen für das Verpassen der 24-Stunden-Frist zunächst ausgesetzt. Die Pflicht selbst besteht davon unabhängig.

Und wenn NIS2 zusätzlich gilt?

Beide Regelwerke können nebeneinander greifen. NIS2 richtet sich an Betreiber in bestimmten Sektoren ab einer Größenschwelle, der Cyber Resilience Act an Hersteller ohne Schwelle. Wer Produkte baut und zugleich in einem NIS2-Sektor tätig ist, muss beides prüfen.

Zum NIS2-Selbstcheck, 10 Fragen →