Cyber Resilience Act · Pflichten
Cyber Resilience Act: Welche Pflichten ab September 2026 gelten
Lesezeit etwa 6 Minuten · Stand Juli 2026
Der Cyber Resilience Act ist die erste EU-weite Verordnung, die Cybersicherheit für alle vernetzten Produkte verbindlich vorschreibt. Sie ist seit Dezember 2024 in Kraft, doch jetzt wird sie operativ. Ab dem 11. September 2026 gilt eine harte Meldepflicht, die viele Hersteller noch unterschätzen. Dieser Beitrag zeigt, wer betroffen ist und was bis wann zu tun ist. Wir stützen uns dabei offen auf die Angaben des BSI und der ENISA.
Wen der CRA betrifft
Der Geltungsbereich ist breiter, als die meisten vermuten. Betroffen ist jeder Hersteller, Importeur und Händler, der Produkte mit digitalen Elementen auf dem EU-Markt bereitstellt. Ein Produkt mit digitalen Elementen ist alles, was direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden kann. Das schließt klassische Software ebenso ein wie vernetzte Haushaltsgeräte, IoT-Geräte, Industriesensorik und Maschinen mit einer Steuerung, die ans Netz geht. Auch wer solche Komponenten nur in eigene Lösungen integriert, trägt als Integrator Pflichten.
Ausgenommen sind nur wenige bereits anders regulierte Bereiche, etwa Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika und zivile Luftfahrt. Kostenlose Open-Source-Software ohne Gewinnerzielungsabsicht fällt ebenfalls nicht darunter.
Die Fristen auf einen Blick
11. Juni 2026
11. September 2026
11. Dezember 2027
Die Meldepflicht ab September: der kritische Teil
Operativ ist die Meldepflicht das anspruchsvollste Stück, weil sie Ihr Sicherheitsteam unmittelbar in regulatorische Abläufe einbindet. Sobald Sie von einer aktiv ausgenutzten Schwachstelle oder einem schweren Sicherheitsvorfall Kenntnis erlangen, läuft eine dreistufige Meldekette an. Zuerst eine Frühwarnung binnen 24 Stunden. Dann eine Vollmeldung binnen 72 Stunden. Schließlich ein Abschlussbericht, bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Abhilfe und bei schweren Vorfällen innerhalb eines Monats. Die Meldungen laufen zentral über die Single Reporting Platform der ENISA.
Das Anspruchsvolle ist selten die Technik, sondern die Organisation. Wer meldet, unter welcher Verantwortung und auf welcher Grundlage. Ohne geklärte Zuständigkeit verpufft die beste technische Vorbereitung im Ernstfall.
Wie weit ist Ihr Unternehmen?
In der Compliance Sprechstunde ordnen wir Ihre Produkte und Prozesse ein und zeigen, wo bis September die größten Lücken liegen. Konkret und ohne Drama.
Was bis Dezember 2027 dazukommt
Die Meldepflicht ist erst der Anfang. Bis Ende 2027 verlangt der CRA die Sicherheit über den gesamten Produktlebenszyklus, also Security by Design statt nachträglicher Pflaster. Dazu kommen die technische Dokumentation und der Nachweis im Rahmen der Konformitätsbewertung sowie ein strukturierter Umgang mit Schwachstellen über die gesamte Lebensdauer. Für rund 9 von 10 Produkten genügt dabei eine Selbsterklärung des Herstellers. Für Produkte mit hohem Risiko, etwa Komponenten kritischer Infrastrukturen oder industrielle Steuerungssysteme, ist eine externe Prüfung Pflicht.
Ein zentraler Baustein ist die SBOM, die Software-Stückliste. Sie ist keine Empfehlung mehr, sondern Pflichtbestandteil des Schwachstellenmanagements. Ohne Transparenz über die enthaltenen Komponenten lässt sich eine Meldung nicht sauber begründen.
Warum Abwarten teuer wird
In Deutschland übernimmt das BSI die Marktüberwachung. Seine Befugnisse gehen über Bußgelder hinaus. Es kann nicht-konforme Produkte vom Markt nehmen, Rückrufe anordnen und den Vertrieb untersagen. Für die meisten Hersteller ist genau das die größere Bedrohung, denn ein Verkaufsstopp trifft den Umsatz sofort. Hinzu kommt der Bußgeldrahmen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Der Aufbau der nötigen Prozesse ist machbar, braucht aber Vorlauf, weshalb die Gap-Analyse jetzt beginnen sollte.
CRA-Reifegrad in wenigen Minuten einschätzen
Der CRA-Readiness-Check ordnet Ihre Lage über die 5 zentralen Domänen ein, von der Dokumentation bis zum Schwachstellenmanagement. Ergebnis als persönliches PDF.
Häufige Fragen zum Cyber Resilience Act
Wen betrifft der CRA?
Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, von Software über vernetzte Geräte bis zu Maschinen mit Steuerung. Ausgenommen sind einzelne anders regulierte Bereiche wie Medizinprodukte und Fahrzeuge.
Welche Fristen gelten?
Meldepflicht ab 11. September 2026, alle Anforderungen ab 11. Dezember 2027. Die Verordnung ist seit 11. Dezember 2024 in Kraft.
Was muss ich ab September 2026 melden?
Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle, in 3 Stufen mit 24 Stunden, 72 Stunden und Abschlussbericht über die ENISA-Plattform.
Was ist eine SBOM?
Eine Software-Stückliste, also ein Verzeichnis aller Produktkomponenten. Sie ist unter dem CRA Pflichtbestandteil des Schwachstellenmanagements.
Cyber Resilience Act: Fristen und Pflichten im Überblick
| Frist/Kriterium | Was gilt |
|---|---|
| Seit 11. Dezember 2024 | Der Cyber Resilience Act ist als EU-Verordnung in Kraft. |
| 11. Juni 2026 | Die ersten Konformitätsbewertungsstellen nehmen ihre Arbeit auf und können Produkte vorab prüfen. |
| Ab 11. September 2026 | Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle: die erste harte Deadline für Hersteller. |
| Dreistufige Meldekette | Frühwarnung binnen 24 Stunden, Vollmeldung binnen 72 Stunden, Abschlussbericht (bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Abhilfe, bei schweren Vorfällen innerhalb eines Monats), zentral über die Single Reporting Platform der ENISA. |
| Ab 11. Dezember 2027 | Alle Anforderungen gelten; Produkte mit digitalen Elementen dürfen nur noch mit der erweiterten CE-Kennzeichnung auf den Markt. |
| Konformitätsbewertung | Für rund 9 von 10 Produkten genügt eine Selbsterklärung des Herstellers; für Produkte mit hohem Risiko (z. B. Komponenten kritischer Infrastrukturen, industrielle Steuerungssysteme) ist eine externe Prüfung Pflicht. |
| Sanktionen | Bußgeld bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes; das BSI kann zudem Produkte vom Markt nehmen, Rückrufe anordnen und den Vertrieb untersagen. |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.