Seit heute, dem 11. September 2026, gilt die erste operative Meldepflicht des europ\u00e4ischen Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen sind verpflichtet, aktiv ausgenutzte Sicherheitsl\u00fccken und schwerwiegende Sicherheitsvorf\u00e4lle innerhalb von 24 Stunden \u00fcber die neue europ\u00e4ische Meldeplattform zu melden. Eine Bitkom-Umfrage zeigt, dass die konkreten Auswirkungen des Gesetzes in vielen Unternehmen noch nicht angekommen sind.<\/p>\n
Die Meldepflicht verlangt von Herstellern, binnen eines Tages eine Erstmeldung abzusetzen. Innerhalb von 72 Stunden m\u00fcssen detaillierte Folgemeldungen mit technischen Angaben zur Schwachstelle, betroffenen Produkten sowie Informationen zu Gegenma\u00dfnahmen und verf\u00fcgbaren Updates eingereicht werden. Abschlie\u00dfend sind verpflichtende Abschlussberichte zu \u00fcbermitteln. Die zentrale Single Reporting Platform der EU, die den Austausch zwischen Unternehmen, nationalen Beh\u00f6rden und der EU-Cybersicherheitsagentur ENISA erm\u00f6glicht, ist ab heute erreichbar. In Deutschland ist das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) die zust\u00e4ndige nationale Beh\u00f6rde.<\/p>\n
Kurz vor dem Start der Meldepflicht war der CRA laut einer repr\u00e4sentativen Bitkom-Umfrage in vielen Unternehmen noch nicht ausreichend verankert. 67 Prozent der 1.003 befragten Unternehmen mit mindestens zehn Besch\u00e4ftigten haben zwar vom Cyber Resilience Act geh\u00f6rt. Nur 29 Prozent wissen nach eigener Einsch\u00e4tzung aber, welche Bedeutung das Gesetz f\u00fcr ihr eigenes Unternehmen hat. Weitere 38 Prozent kennen den CRA, k\u00f6nnen dessen Folgen aber nicht einordnen. 28 Prozent haben von der Verordnung noch nicht geh\u00f6rt. Bitkom-Pr\u00e4sident Ralf Wintergerst betont, der CRA sei grunds\u00e4tzlich wichtig f\u00fcr mehr Cybersicherheit in Europa, da erstmals EU-weit verbindliche Mindestanforderungen f\u00fcr Produkte mit digitalen Funktionen gelten und Security by Design zum Grundsatz wird. H\u00f6here Standards verbesserten den Schutz von Unternehmen, Verbrauchern, Lieferketten und kritischen Infrastrukturen. Allerdings k\u00f6nne der CRA nur Vertrauen schaffen, wenn Unternehmen die Vorgaben auch praktisch umsetzen k\u00f6nnten.<\/p>\n
Selbst vorbereitete Unternehmen konnten die vorgesehenen Meldewege bislang nicht erproben. Laut Bitkom war eine Registrierung auf der zentralen Plattform vor deren Start nicht m\u00f6glich. Erst ab heute k\u00f6nnen Hersteller die Single Reporting Platform erreichen und ihre internen Prozesse gegen die tats\u00e4chlichen Meldewege pr\u00fcfen.<\/p>\n
F\u00fcr betroffene Hersteller reicht es nicht, Schwachstellen technisch zu erkennen. Sie m\u00fcssen kl\u00e4ren, wer eine m\u00f6gliche aktive Ausnutzung bewertet, wer die Erstmeldung innerhalb der 24-Stunden-Frist freigibt und wie Informationen f\u00fcr die Folgemeldung nach 72 Stunden zusammengetragen werden. Dazu geh\u00f6ren technische Details zur Schwachstelle oder zum Vorfall, Angaben zu betroffenen Produkten sowie Informationen zu Gegenma\u00dfnahmen und verf\u00fcgbaren Updates. Bitkom empfiehlt Unternehmen, sich kurzfristig mit Anwendungsbereich, Pflichten und Fristen des CRA auseinanderzusetzen und stellt daf\u00fcr eine Informationsseite bereit. Auch die ENISA ver\u00f6ffentlicht Informationen zur europ\u00e4ischen Meldeplattform.<\/p>\n
Der CRA ver\u00e4ndert auch die Anforderungen an Anbieter vernetzter physischer Sicherheitstechnik, etwa f\u00fcr Zutrittskontrolle, Video\u00fcberwachung oder andere vernetzte Systeme. Genetec, Anbieter von L\u00f6sungen f\u00fcr physische Sicherheit, weist darauf hin, dass nicht nur Hersteller, sondern auch Beschaffer, Betreiber und Systemintegratoren die Cybersicherheitspraktiken ihrer Technologiepartner bewerten sollten. Mathieu Chevalier, Principal Security Architect bei Genetec, empfiehlt Sicherheitsverantwortlichen daf\u00fcr insbesondere f\u00fcnf Fragen zu stellen:<\/p>\n
Nach Darstellung von Genetec verpflichtet der CRA Hersteller, w\u00e4hrend des definierten Supportzeitraums Sicherheitsupdates bereitzustellen. Dieser betr\u00e4gt grunds\u00e4tzlich mindestens f\u00fcnf Jahre oder \u2013 falls k\u00fcrzer \u2013 die erwartete Nutzungsdauer des Produkts. Unternehmen sollten solche Aussagen k\u00fcnftig bereits bei der Beschaffung, Vertragsgestaltung und Bewertung von Lieferanten ber\u00fccksichtigen.<\/p>\n
Der heutige Start der Meldepflicht ist damit nur der erste operative Stichtag des Cyber Resilience Act. Hersteller ben\u00f6tigen belastbare Prozesse f\u00fcr Schwachstellenmanagement und Incident Response. Betreiber und K\u00e4ufer digitaler Produkte sollten zugleich nachvollziehen k\u00f6nnen, wie lange ihre eingesetzten L\u00f6sungen unterst\u00fctzt werden, wie Hersteller \u00fcber Schwachstellen informieren und welche Sicherheitsupdates im Produktlebenszyklus verf\u00fcgbar bleiben.<\/p>\n","protected":false},"excerpt":{"rendered":"
Seit heute, dem 11. September 2026, gilt die erste operative Meldepflicht des europ\u00e4ischen Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen sind verpflichtet, aktiv ausgenutzte Sicherheitsl\u00fccken und schwerwiegende Sicherheitsvorf\u00e4lle innerhalb von 24 Stunden \u00fcber die neue europ\u00e4ische Meldeplattform zu melden. Eine Bitkom-Umfrage zeigt, dass die konkreten Auswirkungen des Gesetzes in vielen Unternehmen noch […]<\/p>\n","protected":false},"author":5,"featured_media":54116,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51855.png","fifu_image_alt":"CRA-Meldepflicht startet heute: 24-Stunden-Frist f\u00fcr Hersteller","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51855","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51855.png","fifu_image_alt":"CRA-Meldepflicht startet heute: 24-Stunden-Frist f\u00fcr Hersteller","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51855","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51855"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51855\/revisions"}],"predecessor-version":[{"id":51859,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51855\/revisions\/51859"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54116"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51855"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51855"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51855"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}