Cyber Resilience Act: Neue Meldepflichten für Hersteller ab 11. September
Veröffentlicht am: 09.09.2026 um 15:39 Uhr | Redaktion boerse-global.de
Ab dem 11. September 2026 greifen im Rahmen des EU Cyber Resilience Act (CRA) neue verbindliche Meldepflichten für aktiv ausgenutzte Schwachstellen. Hersteller von Produkten mit digitalen Elementen sind künftig verpflichtet, Sicherheitslücken in engen Zeitfenstern an die Behörden zu übermitteln.
Zeitgleich nimmt die EU-Agentur für Cybersicherheit (ENISA) eine zentrale Meldeplattform in Betrieb, die zum Start jedoch technische Einschränkungen aufweist.
Manuelle Datenübermittlung über ENISA-Plattform
Die neue CRA-Meldeplattform der ENISA wird zum Stichtag am 11. September ohne eine Anwendungsprogrammierschnittstelle (API) bereitgestellt. Dies bedeutet, dass betroffene Unternehmen Meldungen über Sicherheitsvorfälle oder Schwachstellen vorerst manuell über die Benutzeroberfläche eingeben müssen.
Wer sich mit den neuen gesetzlichen Anforderungen befasst, findet in diesem kostenlosen Report eine fundierte Aufklärung über rechtliche Pflichten und aktuelle Bedrohungen für Unternehmen. Jetzt kostenlosen Cyber-Security-Report sichern
Eine direkte automatisierte Anbindung interner Systeme an die EU-Plattform ist damit zunächst nicht möglich, wenngleich Hersteller firmenintern weiterhin auf Automatisierungslösungen zur Vorbereitung der Daten setzen können.
Die Meldepflichten sind streng getaktet: Eine Frühwarnung muss binnen 24 Stunden nach Bekanntwerden einer aktiv ausgenutzten Schwachstelle erfolgen. Für die detaillierte Meldung gewährt der Gesetzgeber eine Frist von 72 Stunden.
Ein abschließender Bericht ist bei Schwachstellen nach 14 Tagen einzureichen; bei tatsächlichen Sicherheitsvorfällen sieht die Regelung eine Frist von einem Monat vor. Diese Bestimmungen gelten nicht nur für Neuerscheinungen, sondern umfassen auch Bestandsgeräte sowie Hersteller, die ihren Sitz außerhalb der Europäischen Union haben, sofern ihre Produkte auf dem EU-Markt verfügbar sind.
Industrie zeigt sich teils unvorbereitet
Die Umsetzung der neuen Anforderungen stellt viele Unternehmen vor erhebliche Herausforderungen. Einem Bericht von ONEKEY zufolge sind 45 Prozent der 200 befragten deutschen Industrieunternehmen kaum mit den Inhalten des Cyber Resilience Act vertraut.
Etwa 62 Prozent der Befragten identifizierten die Meldepflicht als große Herausforderung, während 30 Prozent darin sogar ein ernstes Problem sahen. Zudem gaben 61,5 Prozent an, weitere relevante Fristen der Verordnung nicht zu kennen.
Angesichts der zunehmenden Risiken und regulatorischen Vorgaben unterstützt dieses Gratis-E-Book Unternehmer dabei, Sicherheitslücken proaktiv zu schließen und die IT-Sicherheit ohne teure Investitionen zu stärken. Hier das kostenlose E-Book herunterladen
Trotz dieser Unsicherheiten hat laut dem Bericht bereits die Hälfte aller Firmen spezielle CRA-Teams gebildet, um die Compliance-Anforderungen zu adressieren. Dennoch befürchten 13 Prozent der befragten Unternehmen, ihre Produktpalette bis zum 11. Dezember 2027 nicht rechtzeitig an die neuen Vorgaben anpassen zu können.
Wirtschaftliche Auswirkungen und Sanktionen
Die EU-Kommission schätzt die Kosten für die Einhaltung des CRA auf insgesamt 29 Milliarden Euro, was etwa 2 Prozent des Branchenumsatzes entspricht. Auf der anderen Seite stehen Forderungen aus der Industrie nach einer konsequenten Umsetzung. Der Smart-Lock-Hersteller Nuki etwa begrüße den CRA und sehe darin den eigenen Ansatz des „Security-by-Design“ bestätigt.
Das Unternehmen forderte in diesem Zusammenhang eine strikte Marktüberwachung, um faire Wettbewerbsbedingungen sicherzustellen. Dies erscheint auch vor dem Hintergrund relevant, dass laut Erhebungen rund 44 Prozent der Befragten Sicherheitsbedenken gegenüber smarten Türschlössern äußerten.
Ab dem 11. Dezember 2026 werden die Anforderungen des CRA vollumfänglich angewendet. Ab diesem Zeitpunkt drohen bei Verstößen empfindliche Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Zudem schreibt das Gesetz für Produkte mit digitalen Elementen einen support-Zeitraum von mindestens fünf Jahren vor.
