Cyber Resilience Act: Bußgelder bis 15 Millionen ab sofort
Veröffentlicht am: 19.09.2026 um 09:24 Uhr | Redaktion boerse-global.de
Mit dem Inkrafttreten der ersten operativen Stufe des EU Cyber Resilience Act (VO EU 2024/2847) sehen sich Hersteller vernetzter Geräte mit drastischen Sanktionen konfrontiert. Bei einer Missachtung der Vorgaben drohen gemäß Artikel 64 Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Seit dem 11. September 2026 sind Unternehmen durch Artikel 14 der Verordnung dazu verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle an die europäischen Behörden zu melden.
Strenge Meldefristen für Hersteller vernetzter Produkte
Die neuen Vorgaben verlangen von Herstellern vernetzter Produkte ein eng getaktetes Risikomanagement. Bei einem Vorfall muss innerhalb von 24 Stunden eine erste Frühwarnung erfolgen, gefolgt von einer detaillierten Meldung binnen 72 Stunden.
Für den abschließenden Bericht gelten je nach Art des Vorfalls unterschiedliche Fristen: Bei einer aktiv ausgenutzten Schwachstelle ist der Bericht spätestens 14 Tage nach Bereitstellung einer Korrektur fällig, bei einem schweren Sicherheitsvorfall beträgt die Frist einen Monat.
Eine besondere Herausforderung für die Industrie liegt darin, dass diese Meldepflichten rückwirkend auch für bereits zuvor vermarktete Produkte greifen.
Für die Entgegennahme der Berichte startete die EU-Agentur für Cybersicherheit (ENISA) die zentrale Meldeplattform Single Reporting Platform (SRP). Die erste Version der Plattform bietet bislang keine Programmierschnittstelle (API), sodass Meldungen ausschließlich manuell über die Benutzeroberfläche erfasst werden müssen.
Zudem verlangt die Plattform einen benannten Unternehmensvertreter (Assigned Representative), der sich über ein EU-Login mit Multi-Faktor-Authentifizierung (MFA) identifiziert. Bis Ende Juni 2026 war die Plattform noch nicht betriebsbereit gewesen; damals fehlten neben der finalen Internetadresse auch die Liste der nationalen Koordinatoren sowie die API-Schnittstelle.
Umfragen offenbaren erhebliche Defizite in den Unternehmen
Trotz der rechtlichen Verbindlichkeit weisen viele Betriebe beträchtliche Vorbereitungslücken auf. Laut einer Bitkom-Umfrage, über die am 17. September 2026 berichtet wurde, kennen zwar 67 Prozent der befragten Unternehmen den Cyber Resilience Act, doch nur 29 Prozent verstehen die konkreten Konsequenzen für den eigenen Betrieb. 38 Prozent der Firmen können die geschäftlichen Auswirkungen nicht einschätzen, während 28 Prozent das Gesetzeswerk überhaupt nicht kennen.
Wer sich mit der Absicherung vernetzter Systeme befasst, muss heute auch die rechtlichen Rahmenbedingungen für künstliche Intelligenz im Blick behalten. Dieser kostenlose Report klärt auf, welche neuen Pflichten und Risikoklassen die EU-KI-Verordnung für moderne IT-Strukturen vorsieht. Fristen und Pflichten der EU-KI-Verordnung jetzt verstehen
Ähnliche Hürden zeigen sich in Spezialbranchen: In einer Quartalsumfrage unter Mitgliedern des AMA Verbands für Sensorik und Messtechnik vom 17. September 2026 bezeichneten 48 Prozent der Befragten die Dokumentations- und Nachweispflichten als größte Hürde. 33 Prozent nannten die Bewertung der eigenen Betroffenheit, 31 Prozent das Fehlen von Fachpersonal und 29 Prozent die rein technische Umsetzung.
Dass Regulierungen erhebliche Kapazitäten beanspruchen, bestätigt auch die Studie „Cybersicherheit in Zahlen 2026/2027“ von G Data Cyberdefense, Statista und Brand Eins: Sieben von zehn befragten IT- und Sicherheitsverantwortlichen gaben an, dass behördliche Auflagen viele Ressourcen binden, während 45 Prozent mit der Richtlinie NIS-2 einen Sicherheitsgewinn verbinden.
Technische Lösungen und Übergangsfristen
Um die Nachweispflichten zu erfüllen, setzt die Industrie zunehmend auf Automatisierung. Das Softwareunternehmen JFrog kündigte für das dritte Quartal 2026 eine Erweiterung seiner Plattform AppTrust an, um Vorgaben des CRA und des US-Standards NIST SSDF über programmierte Richtlinien und Traceability abzubilden.
Das Düsseldorfer IT-Sicherheitsunternehmen ONEKEY, das am EU-Projekt CRACoWi für Compliance-Assistenten beteiligt ist, nutzt Verfahren der deterministischen Firmware-Analyse.
Die zunehmende Regulierung stellt Unternehmen vor komplexe Herausforderungen beim Schutz ihrer digitalen Infrastruktur vor Cyberangriffen. Erfahren Sie in diesem kostenlosen E-Book, wie Sie aktuelle Sicherheitslücken proaktiv schließen und gesetzliche Anforderungen ohne hohe Investitionen erfüllen können. Gratis-E-Book zum Schutz vor Cyberangriffen herunterladen
ONEKEY-Geschäftsführer Jan Wendenburg verwies in diesem Kontext darauf, dass reine Sprachmodelle keine reproduzierbaren Ergebnisse lieferten, weshalb das Unternehmen auf statische Binäranalysen und Software-Stücklisten setzt. Trend Micro stellte seinerseits Mitte September 2026 einen Leitfaden zur Orientierung im regulatorischen Umfeld vor.
Während die Meldepflichten bereits gelten, bleibt für andere Bereiche des Gesetzes noch eine Übergangsfrist: Die vollständigen Lebenszyklus-Anforderungen inklusive der CE-Kennzeichnung werden für vernetzte Produkte erst ab dem 11. Dezember 2027 verbindlich.
Orientierungshilfe verspricht unter anderem das Bundesamt für Sicherheit in der Informationstechnik (BSI), das am 28. Oktober auf der Nürnberger Fachmesse it-sa eine eigene Vortragsreihe zum Cyber Resilience Act plant.
