Cyber Resilience Act: Hersteller müssen Schwachstellen binnen 24 Stunden melden
Veröffentlicht am: 13.10.2026 um 10:05 Uhr | Redaktion boerse-global.de
Mit dem Cyber Resilience Act verschärft die Europäische Union die regulatorischen Anforderungen an Hersteller von Hardware und Software mit digitalen Elementen grundlegend.
Die Verordnung verpflichtet Unternehmen dazu, Sicherheitsaspekte über den gesamten Lebenszyklus vernetzter Produkte hinweg zu gewährleisten. Während die ersten verbindlichen Meldepflichten bereits seit September 2026 in Kraft sind, greift die vollständige Anwendbarkeit des Regelwerks ab Dezember 2027.
Strenge Meldefristen für Sicherheitsvorfälle bereits wirksam
Seit dem 11.09.2026 greift Artikel 14 der Verordnung. Hersteller sind nun verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle an das zuständige Computer-Notfallteam (CSIRT) und die europäische Agentur für Cybersicherheit (ENISA) zu melden. Diese Meldung erfolgt über eine europäische Meldeplattform.
Für eine erste Frühwarnung gilt eine Frist von 24 Stunden ab Kenntnisnahme des Vorfalls. Binnen 72 Stunden müssen betroffene Unternehmen detaillierte Informationen über die Art der Schwachstelle, die betroffenen Produkte sowie eingeleitete Gegenmaßnahmen nachreichen. Diese Vorgaben betreffen auch Geräte und Softwarekomponenten, die bereits vor dem Stichtag auf den Markt gebracht wurden.
Wer sich mit der Absicherung vernetzter Systeme befasst, muss heute neben technischen Hürden auch komplexe gesetzliche Anforderungen an die IT-Sicherheit meistern. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken proaktiv schließen und gleichzeitig neue regulatorische Vorgaben effizient erfüllen. Gratis-E-Book zur IT-Sicherheit jetzt herunterladen
Volle Anwendbarkeit bringt weitreichende Vorgaben ab Ende 2027
Ab dem 11.12.2027 tritt die Verordnung vollständig in Kraft. Vernetzte Produkte müssen dann insgesamt 13 grundlegende Leitlinien erfüllen. Dazu zählen unter anderem eine ab Werk sichere Standardkonfiguration, Update-Fähigkeit, Mechanismen zum Datenschutz sowie Funktionen zur Datenlöschung und Datenübertragung. Zudem wird die Bereitstellung einer Software-Stückliste (Software Bill of Materials, SBOM) zur Pflicht.
Gleichzeitig verlangt Anhang I Teil II Nummer 5 des Regelwerks eine dokumentierte Strategie zur koordinierten Offenlegung von Schwachstellen, während Nummer 6 eine feste Kontaktadresse für entsprechende Meldungen vorschreibt.
Artikel 13 Absatz 17 fordert eine zentrale und leicht auffindbare Anlaufstelle für Sicherheitsforscher und Nutzer. Diese Kommunikation darf nicht rein auf automatisierte Instrumente beschränkt sein, wenngleich die Verordnung keine starre Antwortfrist gegenüber Hinweisgebern vorschreibt.
Zur formalen Bereitstellung von Kontaktdaten verweist der technische Standard RFC 9116 aus dem Jahr 2022 auf die Datei security.txt im Verzeichnis /.well-known/security.txt, die Pflichtfelder wie Kontaktinformationen und ein Ablaufdatum enthält, wobei für letzteres eine Gültigkeit von unter einem Jahr empfohlen wird.
Für den Bereich der Open-Source-Software unterscheidet die Regulierung zwischen verschiedenen Modellen. Während rein freie Projekte von den Pflichten ausgenommen bleiben, müssen kommerzielle Open-Source-Projekte Sicherheitsupdates bereitstellen. Zudem führt die Verordnung das Konzept des Open Source Stewards ein.
Neue EU-Gesetze wie der Cyber Resilience Act oder die KI-Verordnung stellen Unternehmen vor massive Dokumentationspflichten und neue Cyberrisiken. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten Unternehmer jetzt kennen müssen, um ihre digitale Infrastruktur abzusichern. Kostenlosen Report zu neuen Cyberrisiken anfordern
Enge Verzahnung mit dem Maschinenbau
Parallel zur Maschinen verordnung etabliert das Regelwerk Cybersicherheit als dauerhafte technische Eigenschaft und festen Bestandteil der Produktverantwortung, die bereits in der Entwicklungsphase verankert sein muss.
Für Industrieanlagen und Maschinen als Gesamtsysteme gewinnt ein ganzheitliches Sicherheitskonzept an Bedeutung, das Netzwerkarchitektur, Segmentierung, Zugriffsschutz, Schwachstellenmanagement und Dokumentation umfasst.
Vor dem Hintergrund typischer Maschinenlaufzeiten von 15, 20 oder mehr Jahren raten Branchenexperten Herstellern zu einem systematischen Management von IT-Assets und Schwachstellen, klaren Zuständigkeiten sowie regelmäßigen Notfallübungen.
