Cyber Resilience Act: Meldepflicht für Hersteller ab 11. September
Veröffentlicht am: 11.09.2026 um 00:00 Uhr | Redaktion boerse-global.de
Ab dem 11. September 2026 verschärfen sich die regulatorischen Anforderungen für Unternehmen, die Produkte mit digitalen Elementen auf dem europäischen Markt anbieten. Mit dem Inkrafttreten der Meldepflichten nach Artikel 14 des Cyber Resilience Act (VO (EU) 2024/2847) müssen Hersteller künftig Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen in engen Zeitfenstern an die Behörden kommunizieren.
Gestaffelte Meldefristen und zentrale Plattform
Die neuen Bestimmungen sehen ein mehrstufiges Meldeverfahren vor. Hersteller sind verpflichtet, eine Frühwarnung über aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle bereits binnen 24 Stunden nach Kenntnisnahme zu übermitteln. Eine detaillierte Meldung muss innerhalb von 72 Stunden über die von der ENISA bereitgestellte zentrale Meldeplattform, die sogenannte Single Reporting Platform (SRP), erfolgen.
Der Prozess schließt mit einem Abschlussbericht ab. Dieser ist entweder binnen 14 Tagen nach der Behebung einer Schwachstelle oder, im Falle schwerer Vorfälle, innerhalb eines Monats nach dem 72-Stunden-Bericht vorzulegen. Diese Verpflichtungen gelten dabei nicht nur für neue Erzeugnisse: Auch Produkte, die bereits vor dem 11. Dezember 2027 in der Europäischen Union in Verkehr gebracht wurden, unterliegen diesen Meldepflichten.
Die neuen EU-Regeln stellen Unternehmen vor komplexe Herausforderungen bei der Risikodokumentation und Kennzeichnung. Dieser kostenlose Leitfaden bietet einen kompakten Überblick über die Anforderungen und Fristen, die Ihre Rechts- und IT-Abteilung jetzt kennen muss. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt
Definition der Akteure und Haftungsrisiken
Der Anwendungsbereich des Cyber Resilience Act (CRA) umfasst neben den eigentlichen Herstellern auch Importeure und Distributoren, sofern sie Produkte unter einer Eigenmarke vertreiben. In diesen Fällen werden sie rechtlich wie Hersteller behandelt. Für Open-Source-Software (FOSS) gelten die Regeln hingegen nur, wenn diese im Rahmen einer kommerziellen Tätigkeit bereitgestellt wird.
Bei Verstößen gegen die Meldeauflagen drohen empfindliche Sanktionen. Der Bußgeldrahmen reicht bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Kleinstunternehmen sind laut den Regelungen von Bußgeldern befreit, die sich ausschließlich auf die Nichteinhaltung der Meldefristen beziehen.
Unterstützung durch Leitfäden und Übergangsfristen
Obwohl der CRA bereits seit dem 10. Dezember 2024 in Kraft ist, wird die volle Anwendbarkeit, einschließlich der Pflicht zur CE-Kennzeichnung nach Annex I, erst für den 11. Dezember 2027 erwartet. Bereits seit dem 11. Juni 2026 gelten jedoch die Bestimmungen für Konformitätsbewertungsstellen und Notifizierungsstellen. Die Mitgliedstaaten haben zudem bis zum 11. Dezember 2026 Zeit, eine ausreichende Anzahl dieser Stellen zu benennen.
Zur Unterstützung der Unternehmen veröffentlichte die EU-Kommission am 27.07.2026 einen ersten umfassenden Leitfaden. Das über 80 Seiten starke Dokument konkretisiert unter anderem den Anwendungsbereich, den Umgang mit wesentlichen Produktänderungen sowie Supportzeiträume.
Wer sich mit den neuen gesetzlichen Anforderungen befasst, muss neben produktbezogenen Regeln auch die allgemeine IT-Sicherheit im Blick behalten. Erfahren Sie in diesem Gratis-E-Book, wie Sie Sicherheitslücken ohne hohe Investitionen schließen und Ihr Unternehmen proaktiv absichern. IT-Sicherheit stärken ohne teure Investitionen: So schützen clevere Unternehmer ihre Firma vor Cyberangriffen
Für letztere gilt künftig ein Mindestzeitraum von fünf Jahren, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer bemessen ist. Die Kommission betonte dabei, dass dieses Minimum lediglich als Sicherheitsnetz zu verstehen sei.
Aktuelle Marktsituation und Herausforderungen
Die Dringlichkeit der neuen Regelungen wird durch aktuelle Sicherheitsereignisse unterstrichen. So bestätigte Adobe die aktive Ausnutzung einer Schwachstelle in der E-Commerce-Plattform Magento (CVE-2026-75650) seit dem 4. September 2026. Solche Vorfälle fallen unter das neue Melderegime des CRA.
Gleichzeitig zeigen Marktanalysen einen erheblichen Nachholbedarf bei der Umsetzung technischer Anforderungen. Ein Branchenreport von Cloudsmith aus dem Jahr 2026 verdeutlicht, dass derzeit nur eines von vier Teams Software-Stücklisten (SBOM) automatisch erstellt.
Zudem ergab eine Umfrage der ENISA, dass zwar 66 Prozent der kleinen und mittleren Unternehmen den CRA kennen, aber jedes fünfte Unternehmen unsicher bezüglich der konkreten Anwendbarkeit der Regeln auf den eigenen Betrieb ist. Insbesondere bei kleineren Organisationen identifizierten die Experten signifikante Lücken in der Vorbereitung.
