Cyber Resilience Act: Bis zu 15 Millionen Euro Bußgeld bei Verstößen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit der Technischen Richtlinie TR-03183 einen unverbindlichen Leitfaden zum Cyber Resilience Act (CRA) der Europäischen Union vorgelegt. Das Regelwerk orientiert sich an der Verordnung (EU) 2024/2847, die seit Dezember 2024 in Kraft ist.

Während die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle ab dem 11. September 2026 greift, werden die vollumfänglichen Anforderungen der Verordnung ab dem 11. Dezember 2027 verbindlich.

Strenge Fristen und Meldewege über die ENISA

Der BSI-Leitfaden präzisiert die zeitlichen Vorgaben für betroffene Unternehmen. Demnach ist bei einem relevanten Vorfall eine Frühwarnung binnen 24 Stunden vorgeschrieben, der eine vollständige Meldung innerhalb von 72 Stunden folgen muss. Der Abschlussbericht ist 14 Tage nach Umsetzung der Korrekturmaßnahme fällig. Bei schweren Vorfällen gilt alternativ eine Frist von einem Monat nach der ersten Meldung.

Als zentraler Meldeweg dient die von der Cybersicherheitsagentur der Europäischen Union (ENISA) eingerichtete Plattform Single Reporting Platform (SRP). Betroffene Hersteller müssen aktiv ausgenutzte Schwachstellen sowie schwere Vorfälle bei Produkten mit digitalen Elementen über diese Infrastruktur einreichen.

Die Meldung erfolgt dort einmalig und wird von der Plattform an das zuständige Computer-Sicherheitsvorfall-Reaktionsteam (CSIRT), die jeweiligen Mitgliedstaaten und die ENISA weitergeleitet.

Wer die neuen gesetzlichen Anforderungen zur IT-Sicherheit erfüllen und Sicherheitslücken proaktiv schließen möchte, findet in diesem E-Book wertvolle Unterstützung. IT-Sicherheit stärken und Cyberangriffe verhindern

Breiter Adressatenkreis und empfindliche Sanktionen

Die Vorgaben des CRA erfassen nicht nur klassische IT-Komponenten. Hersteller smarter Geräte, Lieferanten sowie Systemintegratoren, die vernetzte Hard- oder Software wesentlich verändern, unterliegen den Pflichten gleichermaßen. Dies betrifft industrielle Sektoren wie Energienetze, Wasserwirtschaft, Bergbau, Chemie sowie den Bereich Öl und Gas.

Ebenso berührt der CRA vernetzte Haustür- und Schließsysteme. Eine Nachwirkung betrifft auch Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden, da die Meldepflichten für diese Bestände uneingeschränkt gelten.

Zudem werden mit dem Stichtag im Dezember 2027 auch Open-Source-Stewards nach Artikel 24 Absatz 3 des CRA meldepflichtig. Verstöße gegen das Regelwerk können mit Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden.

Schnittstellen zur NIS2-Richtlinie und betriebliche Praxis

Neben den produktspezifischen Vorschriften des CRA müssen Unternehmen parallel die Betreiberpflichten der NIS2-Richtlinie beachten. In Deutschland wird diese Vorgabe über das NIS2-Umsetzungs- und Stärkungsgesetz (NIS2UmsuCG) geregelt, was rund 30.000 zusätzliche Betriebe in Branchen wie Pharma, Chemie und Lebensmittelproduktion betrifft. Mögliche Sanktionen greifen hier ab Januar 2027 und orientieren sich ebenfalls am weltweiten Konzernumsatz.

Angesichts steigender Cyberrisiken und neuer Gesetze ist ein fundierter Überblick über die rechtlichen Pflichten für Unternehmer unerlässlich. Dieser kostenlose Report klärt auf, wie Sie Ihr Unternehmen langfristig absichern können. Gratis-Report zu neuen Cyberrisiken und Gesetzen anfordern

In der betrieblichen Praxis setzen Infrastrukturbetreiber wie E.ON bei Schließsystemen auf Lösungen wie eCLIQ, die mit kabellosen, batterielosen Zylindern sowie Metallkontakten statt Funkverbindungen arbeiten.

Um den wachsenden regulatorischen Dokumentations- und Meldepflichten zu begegnen, setzen immer mehr Betriebe auf automatisierte Unterstützung: Laut einer Branchenumfrage geben 39,8 Prozent der globalen Konsumgüterhersteller an, dass künstliche Intelligenz eine signifikante oder kritische Rolle bei der Einhaltung der Cyber-Compliance spiele.