EU Cyber Resilience Act: Ab 11. September 2026 gelten erste Meldepflichten für Software-Hersteller

Der Cyber Resilience Act (CRA) der Europäischen Union tritt schrittweise in Kraft – und der nächste wichtige Termin rückt näher: Ab dem 11. September 2026 gelten die ersten verbindlichen Meldepflichten für Hersteller von „Produkten mit digitalen Elementen“, also für Software und vernetzte Hardware gleichermaßen. Betroffen sind nicht nur große Konzerne, sondern grundsätzlich auch kleinere Software- und Gerätehersteller, die ihre Produkte in der EU anbieten.

Was ab dem 11. September 2026 konkret gilt

Laut der Europäischen Kommission und der EU-Cybersicherheitsagentur ENISA müssen Hersteller ab diesem Stichtag aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle in ihren Produkten melden. Die Meldung erfolgt gestuft: Eine erste „Frühwarnung“ muss innerhalb von 24 Stunden nach Bekanntwerden an die zuständige nationale CSIRT-Stelle (Computer Security Incident Response Team) und an ENISA übermittelt werden, eine ausführlichere Meldung folgt innerhalb von 72 Stunden. Ein Abschlussbericht ist je nach Fall innerhalb von 14 Tagen (nach Bereitstellung einer Korrekturmaßnahme) beziehungsweise innerhalb eines Monats (bei schweren Vorfällen) fällig. Die technische Meldung läuft dabei zentral über die von ENISA bereitgestellte „Single Reporting Platform“ (SRP), sodass Hersteller nicht in jedem einzelnen EU-Mitgliedstaat separat melden müssen.

Wichtig ist die Abgrenzung zur vollständigen Anwendung des CRA: Die umfassenden Anforderungen an Konformitätsbewertung, CE-Kennzeichnung und technische Dokumentation gelten erst ab dem 11. Dezember 2027. Der 11. September 2026 betrifft ausschließlich die Meldepflichten für Schwachstellen und Vorfälle – ist damit aber der erste Termin, an dem Unternehmen tatsächlich handeln müssen, und laut mehreren Fachanalysen auch der Termin, an dem die ersten Sanktionen realistisch verhängt werden könnten, da Verstöße gegen die 24-Stunden-Frist von Behörden in Echtzeit erkennbar sind.

Wer ist betroffen – und wer nicht?

Die Meldepflicht gilt grundsätzlich für alle Hersteller von Produkten mit digitalen Elementen, die in der EU auf dem Markt sind – unabhängig von der Unternehmensgröße. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist jedoch darauf hin, dass für Kleinstunternehmen, kleine und mittlere Unternehmen sowie Start-ups gezielte Unterstützungsmaßnahmen vorgesehen sind, etwa vereinfachte technische Dokumentation, Leitfäden und Helpdesks. Auch bei den Sanktionen gibt es eine Verhältnismäßigkeitsregel: Bußgelder für eine versäumte 24-Stunden-Frühwarnung sollen laut EU-Vorgaben nicht auf Kleinst- und Kleinunternehmen angewendet werden, während die grundsätzliche Meldepflicht selbst auch für sie gilt. Ausgenommen vom CRA sind bestimmte bereits anderweitig regulierte Produktkategorien wie Medizinprodukte, Kraftfahrzeuge oder Luftfahrtsysteme.

Was das für Unternehmen bedeutet

Für IT-Verantwortliche in kleinen und mittleren Unternehmen, die eigene Software entwickeln, vernetzte Geräte herstellen oder digitale Komponenten in ihre Produkte integrieren, ergeben sich aus dem bevorstehenden Stichtag konkrete Handlungsfelder:

• Zuständigkeiten klären: Legen Sie intern fest, wer im Ernstfall eine Schwachstellen- oder Vorfallmeldung prüfen, freigeben und einreichen darf.
• Meldewege testen: Machen Sie sich mit der ENISA-Plattform (Single Reporting Platform) und der für Ihr Unternehmen zuständigen nationalen CSIRT-Stelle vertraut, bevor der Ernstfall eintritt.
• Monitoring aufbauen: Etablieren Sie Prozesse, um aktiv ausgenutzte Schwachstellen in Ihren Produkten überhaupt zeitnah zu erkennen – die 24-Stunden-Frist beginnt bereits mit der begründeten Kenntnisnahme, nicht erst nach vollständiger Bewertung.
• Dokumentation vorbereiten: Prüfen Sie, welche Produkte Ihres Portfolios unter die Definition „Produkt mit digitalen Elementen“ fallen, und sichten Sie frühzeitig die technischen Unterlagen.
• Externe Unterstützung prüfen: Nutzen Sie die vom BSI und der EU-Kommission angekündigten Leitfäden und Helpdesks speziell für KMU, um Aufwand und Unsicherheit zu reduzieren.
• Ein Testlauf lohnt sich: Simulieren Sie intern einmal den Ablauf einer Meldung, um zu prüfen, ob Ihr Team im Ernstfall tatsächlich innerhalb von 24 Stunden reaktionsfähig wäre.

Fazit

Der 11. September 2026 markiert keinen abstrakten Fernpunkt mehr, sondern den ersten konkreten Stichtag des Cyber Resilience Act mit unmittelbarer Wirkung auf operative Prozesse. Auch wenn die vollständige Anwendung des CRA erst 2027 folgt, sollten Unternehmen mit eigenen Softwareprodukten oder vernetzten Geräten die Meldeprozesse für Sicherheitsvorfälle und Schwachstellen schon jetzt aufbauen und testen. Wer frühzeitig Zuständigkeiten klärt und die Meldewege kennt, vermeidet im Ernstfall unnötige Verzögerungen – und ist auf die weiteren CRA-Anforderungen der kommenden Jahre besser vorbereitet.

Quellen

• Europäische Kommission: Cyber Resilience Act – Reporting obligations
• ENISA: Single Reporting Platform (SRP)
• BSI: Cyber Resilience Act – Informationen für Unternehmen
• Europäische Kommission: Kleinstunternehmen und KMU im Cyber Resilience Act
• Europäische Kommission: Cyber Resilience Act – Übersicht