Heute startet die CRA-Meldepflicht – was Hersteller jetzt wissen müssen

Mit dem Start der ersten Meldepflichten des Cyber Resilience Act (CRA) kennen nur 29 Prozent der Unternehmen in Deutschland die Bedeutung der EU-Verordnung für das eigene Haus. Weitere 38 Prozent haben zwar von dem Regelwerk gehört, können dessen Folgen aber nicht einschätzen. Das geht aus einer repräsentativen Umfrage des Branchenverbands Bitkom hervor.

Meldepflichten greifen seit heute

Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen zu Mindeststandards für die Cybersicherheit. Betroffen sind nicht nur vernetzte Geräte wie Router oder industrielle Steuerungen, sondern auch Software. Die meisten Anforderungen gelten für Produkte, die ab dem 11. Dezember 2027 neu auf den EU-Markt kommen. Ab heute, also dem 11. September 2026, müssen Hersteller jedoch bereits aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Einen Überblick über den Anwendungsbereich bietet das BSI zum Cyber Resilience Act.

Die Meldepflicht folgt einem engen Zeitplan: Innerhalb von 24 Stunden nach Bekanntwerden ist eine Frühwarnung fällig. Innerhalb von 72 Stunden müssen Hersteller weitere Informationen und eine erste Bewertung vorlegen. Für Schwachstellen folgt ein Abschlussbericht spätestens 14 Tage, nachdem eine Abhilfemaßnahme – etwa ein Patch oder Workaround – verfügbar ist. Bei schwerwiegenden Sicherheitsvorfällen bleibt dafür ein Monat nach der 72-Stunden-Meldung. Die EU-Agentur ENISA betreibt dafür die zentrale Single Reporting Platform.

Bekanntheit ist nicht gleich Umsetzung

Laut der Bitkom-Umfrage haben 67 Prozent der Unternehmen zumindest schon vom CRA gehört. Für 28 Prozent ist die Verordnung dagegen völlig unbekannt. Der Verband hatte 1003 Unternehmen mit mindestens zehn Beschäftigten und einem Jahresumsatz von mindestens einer Million Euro telefonisch befragt. Die Erhebung lief von Kalenderwoche 16 bis 23 dieses Jahres.

Die Befragung erfasst allerdings vor allem die Bekanntheit des CRA. Sie beantwortet nicht, wie viele Unternehmen ihre Meldewege, Zuständigkeiten oder Schwachstellenprozesse bereits praktisch eingerichtet haben. Zudem richtet sich die heute gestartete Meldepflicht in erster Linie an Hersteller von Produkten mit digitalen Elementen. Für Firmen, die solche Hard- oder Software entwickeln oder unter eigener Marke vertreiben, dürfte die Frage nach der eigenen Betroffenheit daher dringlicher sein als für reine Anwenderunternehmen.

Der Bitkom kritisiert insbesondere, dass Unternehmen die Meldeplattform vor deren Start nicht registrieren und die Prozesse nicht erproben konnten. Die Plattform ging erst mit Beginn der Meldepflicht online. ENISA zufolge können Hersteller Meldungen dort einmalig einreichen; die Informationen gehen anschließend an die zuständigen nationalen CSIRTs und an ENISA.

Prozesse und Komponentenlisten werden wichtiger

Für betroffene Hersteller bedeutet die Frist vor allem organisatorischen Druck: Sie müssen erkennen können, ob eine Schwachstelle tatsächlich aktiv ausgenutzt wird, welche Produkte und Versionen betroffen sind und wer die Meldung freigibt. Ohne belastbare Inventare für eigene Software und zugekaufte Komponenten lässt sich das nur schwer innerhalb von 24 Stunden klären.

Grundlegende Informationen zum CRA finden Betroffene im iX-Artikel „Der EU Cyber Resilience Act: Was man darüber wissen muss“. Ergänzend behandelt der iX-Artikel „Der Cyber Resilience Act und der Stand der Technik“ außerdem mögliche technische und organisatorische Ansatzpunkte bis zur weiteren Konkretisierung der Anforderungen.

Dazu zählen etwa eine Software Bill of Materials (SBOM), geregelte Prozesse für Vulnerability Handling und eine nachvollziehbare Zuordnung von Sicherheitsupdates zu ausgelieferten Produktversionen. Solche Informationen helfen nicht nur beim späteren Konformitätsnachweis, sondern sind auch Voraussetzung, um bei einer aktiv ausgenutzten Lücke den Umfang eines Vorfalls rasch einzugrenzen.