Cyber Resilience Act: Hersteller müssen Schwachstellen binnen 24 Stunden melden

Seit dem 11. September 2026 gelten für Hersteller vernetzter Produkte in der Europäischen Union vorgezogene Transparenzpflichten: Gemäß Artikel 14 der EU-Verordnung 2024/2847, dem sogenannten Cyber Resilience Act, müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle verpflichtend gemeldet werden.

Diese Berichte sind über die zentrale Meldeplattform der EU-Cybersicherheitsagentur ENISA einzureichen und gehen von dort an die zuständigen CSIRTs sowie betroffene Mitgliedstaaten.

Während weitergehende Anforderungen wie grundlegende Sicherheitsvorgaben bei der Produktentwicklung, Konformitätsbewertungen und die CE-Kennzeichnung erst ab dem 11. Dezember 2027 verbindlich werden, greift der Meldemechanismus bereits vollumfänglich.

Strenge Fristen und operative Vorgaben der Meldeplattform

Die Fristvorgaben des Regelwerks verlangen von den Unternehmen eine rasche Reaktion. Sobald ein Hersteller Kenntnis von einem relevanten Vorfall oder einer aktiv ausgenutzten Schwachstelle erlangt, muss innerhalb von 24 Stunden eine Frühwarnung abgesetzt werden.

Eine vollständige Meldung hat binnen 72 Stunden zu erfolgen. Für den Abschlussbericht sieht die Verordnung eine Frist von 14 Tagen nach Umsetzung einer Abhilfemaßnahme bei einer ausgenutzten Schwachstelle vor, während bei einem Sicherheitsvorfall ein Monat nach der 72-Stunden-Meldung angesetzt ist.

Angesichts der strengen Meldefristen bei Sicherheitsvorfällen ist ein proaktiver Schutz vor Cyberangriffen für Unternehmen heute wichtiger denn je. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Bedrohungen abwenden und Unternehmen schützen

Diese Fristen laufen ohne Unterbrechung auch an Wochenenden sowie während Urlaubszeiten weiter. Von der Pflicht ausgenommen sind Ausnutzungen, die bereits vor dem 11. September 2026 bekannt waren.

Auf Seiten der technischen Umsetzung bringt das Meldesystem für die Unternehmen jedoch Hürden mit sich. Die Plattform der ENISA bietet bisher keinen API-Zugang, verfügt ausschließlich über eine englischsprachige Benutzeroberfläche und setzt zwingend eine Multi-Faktor-Authentifizierung voraus.

Für die Administration sind zwei Rollen für die hauptverantwortliche und stellvertretende Vertretung vorgesehen. Zudem zeigt der Systemzähler nach Übermittlung der Frühwarnung für den 72-Stunden-Schritt fälschlicherweise 48 Stunden an, während für den abschließenden Bericht gar kein Zähler vorhanden ist.

Demgegenüber beziffert das Bundesamt für Sicherheit in der Informationstechnik den reinen Meldeaufwand über das Portal auf wenige Minuten. Die Behörde übernimmt in Deutschland die zentrale Funktion bei der Marktüberwachung.

Lieferketten, Komponenten und Haftungsrisiken

Die Meldepflicht beschränkt sich nicht allein auf eigenentwickelte Systeme, sondern erstreckt sich auch auf zugekaufte Bestandteile sowie Open-Source-Komponenten.

Eigene Regelungen für Open-Source-Verwalter nach Artikel 24 Absatz 3 greifen demgegenüber erst ab dem 11. Dezember 2027. Generell schreibt der Rechtsrahmen einen Unterstützungszeitraum für Sicherheitsupdates von mindestens fünf Jahren vor, es sei denn, für das Produkt ist eine kürzere Nutzungsdauer anzunehmen. Medizinprodukte bleiben von den Vorgaben des Regelwerks ausgenommen.

Wer die steigende Zahl von Cyberangriffen und die damit verbundenen gesetzlichen Anforderungen ernst nimmt, sollte seine IT-Sicherheit ohne hohe Investitionen stärken. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue regulatorische Vorgaben erfüllen. Kostenloses E-Book zur IT-Sicherheit herunterladen

Wie weit der Anwendungsbereich reicht, verdeutlichen Prüforganisationen wie TÜVIT. Demnach fallen beispielsweise auch Photovoltaik-Wechselrichter und Balkonkraftwerke unter das Regelwerk. Weil konkrete nationale Spezifikationen noch fehlen, sehen Experten dortige Hersteller vor großen operativen Herausforderungen.

Auf nationaler Ebene ist das deutsche Durchführungsgesetz zum Cyber Resilience Act bereits beschlossen, wartet derzeit jedoch noch auf seine Verkündung. Flankiert werden die Vorgaben durch die am 8. Oktober 2026 vom Bundestag beschlossene Modernisierung des Produkthaftungsrechts zur Umsetzung der Richtlinie (EU) 2024/2853, die im Wesentlichen am 9. Dezember 2026 in Kraft treten soll.

Nach den dortigen Bestimmungen gilt ein Produkt künftig bereits dann als fehlerhaft, wenn Cybersicherheitsanforderungen wie jene des Cyber Resilience Act verletzt werden oder notwendige Sicherheitsupdates unterbleiben.