Cyber Resilience Act: Meldepflicht für Hersteller ab September
Veröffentlicht am: 19.08.2026 um 00:42 Uhr | Redaktion boerse-global.de
Hersteller von Produkten mit digitalen Elementen stehen vor einer tiefgreifenden Umstellung ihrer Prozesse. Gemäß den Anforderungen des Cyber Resilience Act (CRA) müssen Unternehmen die Cybersicherheit ihrer Produkte künftig über den gesamten Lebenszyklus hinweg systematisch berücksichtigen und diese Umsetzung lückenlos nachweisen. Die Neuregelungen betreffen sowohl die Entwicklungsphase als auch den laufenden Betrieb und die Wartung der Geräte.
Neue Meldepflichten ab September 2026
Ein zentraler Meilenstein bei der Umsetzung des CRA ist der 11. September 2026. Ab diesem Datum tritt die offizielle Meldepflicht für Hersteller in Kraft. Diese verpflichtet Unternehmen dazu, aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle in einem zweistufigen Verfahren zu melden. Eine erste Meldung muss bereits innerhalb von 24 Stunden erfolgen, gefolgt von einer detaillierten Vollmeldung innerhalb von 72 Stunden.
Juristen einer international tätigen Kanzlei weisen darauf hin, dass für diese Meldepflicht keine Wesentlichkeitsschwelle vorgesehen ist. In der Folge wird mit einem hohen Aufkommen an Meldungen gerechnet. Experten empfehlen Unternehmen daher, sich frühzeitig durch sogenannte Tabletop-Übungen auf die neuen Prozesse vorzubereiten, um die kurzen Meldefristen einhalten zu können.
ETSI leitet Standardisierungsverfahren ein
Um die technischen Anforderungen des CRA zu konkretisieren, hat die europäische Normungsorganisation ETSI am 13. August 2026 das Genehmigungsverfahren für insgesamt 17 neue Cybersicherheitsstandards gestartet. Diese Entwürfe decken ein breites Spektrum ab, das von Betriebssystemen, Routern und Firewalls über VPNs, Browser und Passwort-Manager bis hin zu Smart-Home-Anwendungen und IoT-Geräten reicht.
Die vorgeschlagenen Standards definieren Mindestanforderungen, die unter anderem den Einsatz moderner Kryptografie, das Prinzip „Secure-by-Default“, die Bereitstellung einer Software-Stückliste (SBOM) sowie die kontinuierliche Update-Fähigkeit der Produkte umfassen.
Wer die neuen gesetzlichen Anforderungen an die IT-Sicherheit erfüllen möchte, findet in diesem kostenlosen E-Book wertvolle Informationen zu aktuellen Bedrohungen und Schutzmaßnahmen. Gratis-E-Book: IT-Sicherheit stärken und Unternehmen schützen
Bis Mitte September beziehungsweise Mitte November 2026 besteht die Möglichkeit, öffentliche Kommentare zu den Entwürfen abzugeben. Die Veröffentlichung der finalen Versionen wird für Dezember 2026 erwartet, wobei die Standards ab Dezember 2027 verbindlich gelten sollen.
Unterstützung und Compliance-Strategien für den Mittelstand
Insbesondere für kleine und mittlere Unternehmen (KMU) stellt die Komplexität des CRA eine Herausforderung dar. Die EU-Kommission veröffentlichte bereits Ende Juli 2026 einen Leitfaden, der Kleinstunternehmen mit praktischen Beispielen, Diagrammen und Entscheidungsbäumen bei der Prüfung der Compliance-Anforderungen unterstützen soll. Zudem bieten Organisationen wie ETSI, CEN und CENELEC spezielle Workshops für KMU an.
Zusätzlich stehen verschiedene Bildungsangebote zur Verfügung, um die praktische Umsetzung zu erleichtern. So veranstaltet ein Dienstleister Mitte September 2026 ein Webinar zu einem Acht-Phasen-Ansatz für die Compliance bei IoT-Produkten. Auch Fachakademien bieten im Oktober und November 2026 mehrtägige Praxiskurse an, die Themen wie Konformitätsbewertungen, die CE-Kennzeichnung und spezifische Normen wie die IEC 62443 behandeln.
Angesichts neuer Gesetze und wachsender Cyberrisiken ist ein proaktiver Schutz für Unternehmer unerlässlich, um rechtlich auf der sicheren Seite zu stehen. Dieser kostenlose Report klärt darüber auf, welche Pflichten jetzt auf Betriebe zukommen. Kostenlosen Cyber-Security-Report jetzt herunterladen
Haftungsrisiken und finanzielle Sanktionen
Die vollständigen Produktanforderungen des CRA treten ab dem 11. Dezember 2027 in Kraft. Ab diesem Zeitpunkt müssen Produkte zwingend über eine CE-Kennzeichnung verfügen und Anforderungen wie „Secure-by-Design“ erfüllen.
Ein Fachanwalt für Versicherungsrecht betont, dass der CRA die Haftungsrisiken für Hersteller deutlich verschärft, da die Anforderungen an die Cybersicherheit nun präzise konkretisiert sind. Dies eröffne auch Versicherern neue Regressmöglichkeiten.
Bei Verstößen gegen die Vorgaben drohen empfindliche Sanktionen. Der Strafrahmen sieht Bußgelder von bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des gesamten weltweit erzielten Jahresumsatzes vor, je nachdem, welcher Wert höher ausfällt.
