Cyber Resilience Act: Meldepflichten für Hersteller ab September
Veröffentlicht am: 14.08.2026 um 09:20 Uhr | Redaktion boerse-global.de
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 13. August 2026 die Version 1.0 der technischen Richtlinie TR-03183 veröffentlicht. Das Dokument dient als Orientierungshilfe für die Konformität digitaler Produkte mit dem europäischen Cyber Resilience Act (CRA). Die Richtlinie richtet sich an Hersteller von Produkten mit digitalen Elementen und soll den Weg zur Erfüllung der künftigen Sicherheitsanforderungen ebnen.
Rechtlicher Status und technische Hilfsmittel
Die nun vorgelegte Richtlinie ist zum aktuellen Zeitpunkt rechtlich unverbindlich. Das BSI wies darauf hin, dass die Verbindlichkeit erst eintreten werde, sobald harmonisierte EU-Standards vorliegen. Bis dahin fungiert die TR-03183 als wichtige Leitlinie für Unternehmen, um ihre Entwicklungsprozesse an die kommenden regulatorischen Rahmenbedingungen anzupassen.
Um die Implementierung in der Praxis zu unterstützen, stellt die Behörde ergänzende Daten im OSCAL-Format (Open Security Controls Assessment Language) zur Verfügung. Diese Ressourcen werden auf der Plattform GitHub bereitgestellt, wobei für den Zugriff eine vorherige Anmeldung erforderlich ist.
Die Richtlinie deckt ein breites Spektrum ab und findet Anwendung auf alle Produkte, die über digitale Komponenten verfügen und somit in den Geltungsbereich des CRA fallen.
Fristen für Meldepflichten und Schwachstellenmanagement
Ein wesentlicher Meilenstein im Zeitplan des Cyber Resilience Act steht bereits im kommenden Monat an. Ab dem 11. September 2026 greifen die spezifischen CRA-Meldepflichten. Hersteller sind ab diesem Zeitpunkt verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle zu melden.
Der Meldeweg ist dabei strikt vorgegeben und erfolgt über die Plattform der Agentur der Europäischen Union für Cybersicherheit (ENISA). Die einzuhaltenden Fristen sind eng bemessen: Innerhalb von 24 Stunden nach Bekanntwerden eines Vorfalls muss eine Frühwarnung abgesetzt werden. Eine detaillierte Meldung hat laut den regulatorischen Vorgaben innerhalb von 72 Stunden zu erfolgen.
Wer sich mit den neuen gesetzlichen Anforderungen befasst, muss neben den Meldepflichten auch die rechtlichen Risiken durch KI im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken: Kostenlosen Report anfordern
Vollständige Anwendung und Anforderungen an Hersteller
Die vollständige Anwendung des Cyber Resilience Act ist für den 11. Dezember 2026 vorgesehen. Zu diesem Datum treten weitreichende Anforderungen in Kraft, die die gesamte Lebensdauer digitaler Produkte betreffen. Hersteller müssen dann unter anderem eine detaillierte Software-Stückliste (Software Bill of Materials, SBOM) vorhalten, um die Transparenz über die verwendeten Komponenten zu gewährleisten.
Zudem sieht das Regelwerk vor, dass für betroffene Produkte ein Supportzeitraum von mindestens 5 Jahren garantiert werden muss. In dieser Zeit sind die Hersteller verpflichtet, Sicherheitsupdates bereitzustellen und die Integrität der digitalen Elemente aufrechtzuerhalten.
Empfehlungen für die Wirtschaft
Angesichts der nahenden Fristen mahnte der Branchenverband Bitkom zur zeitnahen Vorbereitung. Unternehmen sollten umgehend ihr Schwachstellenmanagement, ihre Prozesse zur Reaktion auf Sicherheitsvorfälle (Incident Response) sowie die internen Meldewege einer kritischen Überprüfung unterziehen.
Angesichts der zunehmenden Bedrohungslage durch Cyberangriffe hilft eine strukturierte Vorbereitung dabei, Sicherheitslücken effektiv zu schließen. Erfahrene Experten erläutern in diesem kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenlose Checkliste zur IT-Absicherung herunterladen
Um den Qualifizierungsbedarf in den Betrieben zu decken, bietet die Bitkom Akademie entsprechende Weiterbildungsmaßnahmen an, die auf die neuen Anforderungen der CRA-Compliance vorbereiten sollen.
