Cyber Resilience Act ab 11. September: 24-Stunden-Meldepflicht für Schwachstellen
Veröffentlicht am: 05.08.2026 um 14:01 Uhr | Redaktion boerse-global.de
Nur 18.845 Unternehmen haben sich bis zum Stichtag registriert – das BSI rechnete mit 29.500. Die Lücke könnte teuer werden.
Großes Delta zwischen Prognose und Realität
Die Frist endete am 31. Juli 2026. Doch die Bilanz des Bundesministeriums des Innern (BMI) fällt ernüchternd aus: 6.490 besonders wichtige und 12.355 wichtige Einrichtungen haben sich registriert. Das sind nur rund 64 Prozent der erwarteten Unternehmen.
Schon zum ursprünglichen Termin am 6. März 2026 klaffte die Lücke: Gerade einmal 11.500 Registrierungen lagen vor. Das BMI lässt die aktuellen Zahlen nun vom Statistischen Bundesamt prüfen. Unternehmen, die ihre Pflicht ignorieren, riskieren Bußgelder bis 500.000 Euro bei verspäteten Meldungen. Bei kumulierten Verstößen drohen bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Zusätzlich haftet die Geschäftsleitung persönlich.
Sicherheitsrollen unter neuem Regime
Neben der Registrierung verschärfen DORA und die MaRisk-Novelle die Anforderungen an die Unternehmensorganisation. Die Kernforderung: IT-Leitung und Informationssicherheitsbeauftragter (ISB) müssen personell getrennt sein. Ein IT-Leiter darf nicht gleichzeitig die ISB-Rolle übernehmen – Interessenkonflikte sollen so gar nicht erst entstehen.
Branchenexperten veranschlagen den Aufwand für die ISB-Rolle auf 0,5 bis 1,5 Vollzeitäquivalente pro Unternehmen. Banken profitieren noch bis Ende 2026 von den bisherigen Aufsichtsanforderungen (BAIT), müssen die neuen Strukturen aber bereits jetzt implementieren. Parallel laufen zahlreiche Brandschutzhelfer-Zertifikate aus den Jahren 2020 und 2021 aus – Nachschulungen sind nötig.
Angesichts steigender regulatorischer Anforderungen und massiver Bußgelder müssen Unternehmen ihre IT-Infrastruktur heute proaktiver denn je schützen. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Sicherheitslücken schließen und gesetzliche Anforderungen erfüllen. IT-Sicherheit ohne teure Investitionen stärken
Neue Fristen für Produkte und KI
Ab dem 11. September 2026 greifen die Meldepflichten des Cyber Resilience Act (CRA). Hersteller müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden als Frühwarnung melden, nach 72 Stunden einen formellen Bericht und nach 14 Tagen einen Abschlussbericht vorlegen. Die volle Produktpflicht folgt Ende 2027.
Anfang August kamen neue Leitlinien im SAFE-Rahmenwerk für Künstliche Intelligenz hinzu. Exponierte Kunden müssen bei Sicherheitsvorfällen binnen 72 Stunden informiert werden. Vertrauliche Berichte an die zuständige Organisation folgen nach vier Arbeitstagen, öffentliche Statusmeldungen dürfen bis zu 90 Tage dauern. Seit dem 2. August gelten zudem EU-Transparenzregeln für KI – die Übergangsfrist endet am 2. Dezember 2026. Ab Januar 2027 wird Cybersecurity dann Pflicht für die CE-Kennzeichnung unter der neuen Maschinenverordnung.
Wer sich mit dem Einsatz von KI-Systemen befasst, muss die neuen rechtlichen Rahmenbedingungen der EU genau kennen, um Sanktionen zu vermeiden. Ein kostenloser Umsetzungsleitfaden bietet jetzt den notwendigen Überblick über Fristen, Pflichten und Risikoklassen des EU AI Acts. EU AI Act in 5 Schritten verstehen
Personalmangel trifft auf neue Gehaltsgrenzen
Die Umsetzung all dieser Vorgaben fällt in einen angespannten Arbeitsmarkt. Laut Bitkom fehlen in Deutschland rund 109.000 IT-Fachkräfte – etwa 8.500 davon im Bereich Cybersecurity.
Gleichzeitig plant die Bundesregierung zum 1. Januar 2027 eine Änderung im Arbeitsrecht: Ab einem Jahreseinkommen über dem 1,75-fachen der Beitragsbemessungsgrenze – derzeit etwa 175.000 Euro – sollen Unternehmen Arbeitsverhältnisse gegen Abfindung leichter auflösen können. Auch der Begriff des leitenden Angestellten steht zur Debatte. Das könnte die vertragliche Gestaltung von Führungspositionen im Sicherheitsmanagement direkt beeinflussen.
