Seit heute, dem 11. September 2026, gilt die erste operative Meldepflicht des europäischen Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen sind verpflichtet, aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden über die neue europäische Meldeplattform zu melden. Eine Bitkom-Umfrage zeigt, dass die konkreten Auswirkungen des Gesetzes in vielen Unternehmen noch nicht angekommen sind.
24-Stunden-Frist für Sicherheitsvorfälle
Die Meldepflicht verlangt von Herstellern, binnen eines Tages eine Erstmeldung abzusetzen. Innerhalb von 72 Stunden müssen detaillierte Folgemeldungen mit technischen Angaben zur Schwachstelle, betroffenen Produkten sowie Informationen zu Gegenmaßnahmen und verfügbaren Updates eingereicht werden. Abschließend sind verpflichtende Abschlussberichte zu übermitteln. Die zentrale Single Reporting Platform der EU, die den Austausch zwischen Unternehmen, nationalen Behörden und der EU-Cybersicherheitsagentur ENISA ermöglicht, ist ab heute erreichbar. In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zuständige nationale Behörde.
Viele Unternehmen kennen ihre Pflichten nicht
Kurz vor dem Start der Meldepflicht war der CRA laut einer repräsentativen Bitkom-Umfrage in vielen Unternehmen noch nicht ausreichend verankert. 67 Prozent der 1.003 befragten Unternehmen mit mindestens zehn Beschäftigten haben zwar vom Cyber Resilience Act gehört. Nur 29 Prozent wissen nach eigener Einschätzung aber, welche Bedeutung das Gesetz für ihr eigenes Unternehmen hat. Weitere 38 Prozent kennen den CRA, können dessen Folgen aber nicht einordnen. 28 Prozent haben von der Verordnung noch nicht gehört. Bitkom-Präsident Ralf Wintergerst betont, der CRA sei grundsätzlich wichtig für mehr Cybersicherheit in Europa, da erstmals EU-weit verbindliche Mindestanforderungen für Produkte mit digitalen Funktionen gelten und Security by Design zum Grundsatz wird. Höhere Standards verbesserten den Schutz von Unternehmen, Verbrauchern, Lieferketten und kritischen Infrastrukturen. Allerdings könne der CRA nur Vertrauen schaffen, wenn Unternehmen die Vorgaben auch praktisch umsetzen könnten.
Fehlende Erprobungsmöglichkeit vor dem Start
Selbst vorbereitete Unternehmen konnten die vorgesehenen Meldewege bislang nicht erproben. Laut Bitkom war eine Registrierung auf der zentralen Plattform vor deren Start nicht möglich. Erst ab heute können Hersteller die Single Reporting Platform erreichen und ihre internen Prozesse gegen die tatsächlichen Meldewege prüfen.
Meldeprozesse und Verantwortlichkeiten festlegen
Für betroffene Hersteller reicht es nicht, Schwachstellen technisch zu erkennen. Sie müssen klären, wer eine mögliche aktive Ausnutzung bewertet, wer die Erstmeldung innerhalb der 24-Stunden-Frist freigibt und wie Informationen für die Folgemeldung nach 72 Stunden zusammengetragen werden. Dazu gehören technische Details zur Schwachstelle oder zum Vorfall, Angaben zu betroffenen Produkten sowie Informationen zu Gegenmaßnahmen und verfügbaren Updates. Bitkom empfiehlt Unternehmen, sich kurzfristig mit Anwendungsbereich, Pflichten und Fristen des CRA auseinanderzusetzen und stellt dafür eine Informationsseite bereit. Auch die ENISA veröffentlicht Informationen zur europäischen Meldeplattform.
Fünf Fragen an Technologieanbieter
Der CRA verändert auch die Anforderungen an Anbieter vernetzter physischer Sicherheitstechnik, etwa für Zutrittskontrolle, Videoüberwachung oder andere vernetzte Systeme. Genetec, Anbieter von Lösungen für physische Sicherheit, weist darauf hin, dass nicht nur Hersteller, sondern auch Beschaffer, Betreiber und Systemintegratoren die Cybersicherheitspraktiken ihrer Technologiepartner bewerten sollten. Mathieu Chevalier, Principal Security Architect bei Genetec, empfiehlt Sicherheitsverantwortlichen dafür insbesondere fünf Fragen zu stellen:
- Wie lange erhält das Produkt Sicherheitsupdates und Support?
- Wurde Cybersicherheit von Anfang an in das Produkt integriert?
- Wie identifiziert, kommuniziert und behebt der Anbieter Sicherheitslücken?
- Ist der Anbieter transparent in Bezug auf seine eigenen Cybersicherheitspraktiken?
- Wie unterstützt der Anbieter die langfristige Cyberresilienz?
Nach Darstellung von Genetec verpflichtet der CRA Hersteller, während des definierten Supportzeitraums Sicherheitsupdates bereitzustellen. Dieser beträgt grundsätzlich mindestens fünf Jahre oder – falls kürzer – die erwartete Nutzungsdauer des Produkts. Unternehmen sollten solche Aussagen künftig bereits bei der Beschaffung, Vertragsgestaltung und Bewertung von Lieferanten berücksichtigen.
Der heutige Start der Meldepflicht ist damit nur der erste operative Stichtag des Cyber Resilience Act. Hersteller benötigen belastbare Prozesse für Schwachstellenmanagement und Incident Response. Betreiber und Käufer digitaler Produkte sollten zugleich nachvollziehen können, wie lange ihre eingesetzten Lösungen unterstützt werden, wie Hersteller über Schwachstellen informieren und welche Sicherheitsupdates im Produktlebenszyklus verfügbar bleiben.
