Cyber Resilience Act: Ab 11. September gilt die Meldepflicht

In gut drei Wochen greift die erste verbindliche Stufe des Cyber Resilience Act (CRA): Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Der vollständige CRA folgt im Dezember 2027 — die Meldepflicht kommt vorgezogen.

„Hersteller” meint mehr, als viele denken

Der Begriff umfasst nicht nur Gerätehersteller. Erfasst sind Produkte mit digitalen Elementen allgemein — dazu zählt auch Software, die in der EU in Verkehr gebracht wird. Wer also eigene Anwendungen, Apps, Module oder vernetzte Geräte anbietet, sollte prüfen, ob er in die Rolle des Herstellers fällt. Auch wer fremde Produkte unter eigenem Namen vertreibt oder wesentlich verändert, kann darunterfallen. Und die Meldepflicht gilt ausdrücklich auch für Produkte, die bereits auf dem Markt sind.

Die Fristen

Gemeldet wird an das zuständige nationale CSIRT — in Deutschland das BSI — und über die zentrale EU-Plattform an die ENISA:

• 24 Stunden: Frühwarnung nach Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls
• 72 Stunden: ausführlicher Bericht
• 14 Tage bzw. ein Monat: Abschlussbericht

24 Stunden sind knapp. Das funktioniert nur, wenn vorher geklärt ist, wer meldet, wer entscheidet und wo die nötigen Informationen liegen.

Was über die Meldung hinaus verlangt wird

Der CRA fordert Sicherheit über den gesamten Lebenszyklus: Entwicklung nach „secure by design” und „secure by default”, systematisches Schwachstellenmanagement, eine Software-Stückliste (SBOM) — also eine nachvollziehbare Übersicht aller verwendeten Komponenten und Bibliotheken — sowie Sicherheitsupdates über den gesamten Supportzeitraum.

Gerade die SBOM ist ein Punkt, den man nicht kurz vor Ablauf einer Frist nachholt. Sie lässt sich aber gut automatisiert im Build-Prozess erzeugen, wenn die CI/CD-Kette ohnehin steht.

Auch als Anwender relevant

Selbst wenn Sie keine Produkte herstellen, betrifft Sie der CRA indirekt: Ihre Lieferanten werden künftig transparenter über Schwachstellen und Supportzeiträume informieren müssen. Das ist eine gute Gelegenheit, bei Beschaffungen künftig nach SBOM, Update-Politik und Support-Ende zu fragen — Informationen, die auch für NIS2-Nachweise nützlich sind.

Unser Fazit

Für Betriebe mit eigener Softwareentwicklung ist der 11. September ein echtes Datum, kein Fernziel. Wir helfen bei der Einordnung, ob Sie betroffen sind, richten Meldewege und Verantwortlichkeiten ein und automatisieren die SBOM-Erzeugung in Ihrer Build-Pipeline.