Cyber Resilience Act: Bei Verstößen drohen bis zu 15 Millionen Euro Strafe

Seit dem 11. September 2026 müssen Hersteller digitaler Produkte aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit melden.

Die Vorgaben nach Artikel 14 des europäischen Cyber Resilience Act verlangen von Unternehmen, Vorfälle selbst bei anfangs lückenhafter Informationslage zügig zu bewerten. Wer interne Zuständigkeiten und Meldeabläufe nicht vor dem Eintreffen erster Alarme festlegt, riskiert Fristüberschreitungen und empfindliche Sanktionen.

Gestaffelte Fristen und zentrale Meldewege

Die gesetzlichen Meldefristen laufen unmittelbar ab dem Zeitpunkt der Kenntniserlangung. Innerhalb von 24 Stunden ist eine erste Frühwarnung fällig, gefolgt von einer ausführlichen Meldung binnen 72 Stunden.

Ein Abschlussbericht muss bei ausgenutzten Schwachstellen innerhalb von 14 Tagen nach Bereitstellung einer Fehlerbehebung vorgelegt werden. Bei schwerwiegenden Vorfällen ist dieser Bericht spätestens einen Monat nach der 72-Stunden-Meldung einzureichen.

Angesichts der neuen gesetzlichen Anforderungen wird proaktive IT-Sicherheit für Betriebe zur Pflicht. Dieses kostenlose E-Book unterstützt Verantwortliche dabei, bestehende Sicherheitslücken zu schließen und die Cyber-Resilienz des eigenen Unternehmens nachhaltig zu stärken. IT-Sicherheit ohne teure Investitionen stärken

Die Übermittlung erfolgt über die zentrale Meldeplattform der EU-Cybersicherheitsagentur ENISA, die Meldungen an das Bundesamt für Sicherheit in der Informationstechnik (BSI), das jeweilige nationale CSIRT sowie die ENISA weiterleitet.

Anwendungsbereich und Nachweis tatsächlicher Ausnutzung

Die Pflicht greift nicht bereits bei bloßer Kenntnis einer theoretischen Sicherheitslücke, sondern setzt eine nachgewiesene tatsächliche Ausnutzung voraus.

Ein Beispiel bieten Schwachstellen in der Softwarebibliothek FatFs, die im Juli 2026 von der Sicherheitsfirma Runzero in Testabbildern für Kameras, Drohnen und Industriesteuerungen identifiziert wurden: Solange keine aktive Ausnutzung belegt ist, müssen weder Komponentenentwickler noch Endgerätehersteller eine Meldung abgeben.

Betroffen von den Vorschriften sind unter anderem Hersteller von Software, vernetzten IoT-Geräten, Industriemaschinen sowie Netzwerktechnik. Die Pflichten gelten gleichermaßen für Unternehmen mit Sitz außerhalb der Europäischen Union, sofern sie ihre Waren im EU-Binnenmarkt vertreiben.

Auch Drittanbieter-Software sowie Produkte, die nicht mehr aktiv vertrieben werden, aber weiterhin im Einsatz sind, fallen darunter. Während die Pflicht zur Bereitstellung von Updates an den festgelegten Supportzeitraum gekoppelt bleibt, ist eine Meldung auch dann möglich, wenn keine gesetzliche Pflicht zur Fehlerbehebung mehr besteht.

Für Smart-Home-Geräte wie vernetzte Kameras, Thermostate und Türschlösser sieht der Rechtsrahmen grundsätzlich einen Unterstützungszeitraum von mindestens fünf Jahren vor, der bei langlebigen Gütern länger und bei kurzlebigen Produkten kürzer ausfallen kann. Das genaue Enddatum muss beim Kauf mit Monat und Jahr angegeben werden.

Während neue bauliche Produktanforderungen für Bestandsgeräte vor dem 11. Dezember 2027 erst bei wesentlichen Änderungen greifen, sind die Meldepflichten für diese Produkte bereits verbindlich.

Wer die komplexen Regelungen der EU-KI-Verordnung und des Cyber Resilience Acts verstehen will, benötigt einen klaren Fahrplan für die Praxis. Ein neuer Gratis-Report liefert jetzt den notwendigen Überblick über rechtliche Pflichten und aktuelle Bedrohungsszenarien für Unternehmer. Kostenlosen Cyber-Security-Report herunterladen

Nationale Umsetzung und praktische Hürden

Im industriellen Alltag erweist sich vor allem die Zuordnung von Schwachstellen zu konkreten Softwareständen, Produktvarianten und bereits ausgelieferten Anlagen als anspruchsvoll. Auf Fachmessen werden entsprechende Abgleichwerkzeuge zur automatisierten Prüfung präsentiert, um Komponenten- und Versionsdaten gegen aktuelle Schwachstellendatenbanken abzugleichen.

Auf nationaler Ebene schaffen die Mitgliedstaaten derzeit die rechtlichen Grundlagen. Der Deutsche Bundestag beschloss am 15. Oktober 2026 das CRA-Durchführungsgesetz auf Basis der Drucksache 21/6134. Damit wird das BSI zur Marktüberwachungs- und notifizierenden Behörde bestimmt, während die Akkreditierung von Konformitätsbewertungsstellen über die DAkkS erfolgt. Im Ministerrat Italiens wurde am 2. Oktober 2026 ein entsprechender Dekretentwurf gebilligt, der die dortige Agentur ACN als Marktaufsicht einsetzt.

Während die Meldepflichten bereits gelten, greifen die übrigen Vorgaben des Cyber Resilience Act – darunter grundlegende Sicherheitsanforderungen, die CE-Kennzeichnung und die Konformitätserklärung – erst ab dem 11. Dezember 2027. Bei Verstößen drohen nach EU-Recht Strafen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Mehr zum Thema bei Golem.de: „Cyber Resilience Act: Die Meldepflicht mit den eingebauten Lücken“