Cyber Resilience Act: Hersteller müssen Vorfälle binnen 24 Stunden melden

Am 23. Oktober 2026 haben Branchenexperten Organisationen dazu aufgerufen, ihre Sicherheitsmaßnahmen proaktiv zu verstärken und strukturierte Risikobewertungen als essenziellen Ausgangspunkt für die Einhaltung regulatorischer Vorgaben zu nutzen. Anlass sind die steigenden Compliance-Anforderungen durch die europäische NIS2-Richtlinie sowie den EU Cyber Resilience Act (CRA).

Wie unter anderem Jürgen Vogler, Vorstandschef des Softwareherstellers Aagon, darlegte, führen beide Regelwerke zwar zu einem erheblich höheren Dokumentationsaufwand, dieser formale Prozess dürfe von Unternehmen jedoch keinesfalls mit tatsächlicher Resilienz verwechselt werden.

Gesetzlicher Rahmen und nationale Umsetzung

Der Cyber Resilience Act trat am 10. Dezember 2024 in Kraft und gilt ab dem 11. Dezember 2027 vollständig für alle in der Europäischen Union vertriebenen Produkte mit digitalen Elementen, darunter Hardware, Software, Remote-Datenverarbeitung sowie cloud-verbundene Programme. Während Bestandsprodukte vor dem Stichtag im Regelfall nicht rückwirkend erfasst werden, können wesentliche Änderungen bereits neue Pflichten begründen.

In Deutschland beschloss der Deutsche Bundestag am 15. Oktober 2026 das CRA-Durchführungsgesetz (Drucksache 21/6134, Bundesratsdrucksache 260/26), welches Anpassungen im BSI-Gesetz, dem Telekommunikationsgesetz und dem Energiewirtschaftsgesetz vornimmt.

Als zentrale Marktüberwachungsbehörde fungiert das Bundesamt für Sicherheit in der Informationstechnik (BSI), das mit Stichproben, Nachbesserungsforderungen, Bußgeldern und Marktrücknahmen betraut ist. Zudem übernimmt das BSI die Rollen als notifizierende Behörde, CSIRT für CRA-Meldungen und Beschwerdestelle für Verbraucher, während es insbesondere kleine und mittlere Unternehmen unterstützen soll.

BSI-Vizepräsident Thomas Caspers hob hervor, dass die verpflichtenden Cybersicherheitsanforderungen den gesamten Lebenszyklus abdecken – von vernetzten Haushaltsgeräten über mobile Anwendungen bis hin zu Sicherheitschips.

Auch andere EU-Staaten treiben die Umsetzung voran: Der italienische Ministerrat billigte am 2. Oktober 2026 einen entsprechenden Dekretentwurf, der am 9. Oktober 2026 als Regierungsakt Nr. 447 an die Abgeordnetenkammer übermittelt wurde.

Fristen für Meldepflichten und technische Hürden

Wer die steigenden Anforderungen an die IT-Sicherheit und neue Gesetze wie den EU AI Act verstehen möchte, benötigt eine klare Strategie. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über Pflichten und Fristen für Unternehmen. EU AI Act in 5 Schritten verstehen

Bereits seit dem 11. September 2026 greifen nach Artikel 14 des CRA vorgezogene Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die über die zentrale Plattform der EU-Cybersicherheitsagentur ENISA abgewickelt werden müssen. Diese Meldepflicht betrifft auch Produkte, die bereits vor Dezember 2027 in den Verkehr gebracht wurden.

Die Fristen sind strikt geregelt: Eine Frühwarnung muss binnen 24 Stunden erfolgen, eine vollständige Meldung innerhalb von 72 Stunden. Ein Abschlussbericht ist bei Schwachstellen 14 Tage nach Bereitstellung des Fixes fällig, bei schwerwiegenden Sicherheitsvorfällen einen Monat nach der 72-Stunden-Meldung.

Hersteller stehen vor der Herausforderung, auch bei unvollständiger Faktenlage unverzüglich zu beurteilen, ob ein Vorfall meldepflichtig ist. Dr. Ulrich Faisst, CTO der All for One Group, bezeichnete die exakte Zuordnung von Schwachstellen zu konkreten Produkten, Releases, Varianten, Maschinen und Kunden als wesentliche Hürde.

Neue technologische Regulierungen und Cyberrisiken stellen viele Verantwortliche vor komplexe Aufgaben bei der Risikoanalyse. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt im Detail kennen müssen. Gratis-Report zu neuen Cyberrisiken anfordern

Vor diesem Hintergrund präsentierten All for One und Brightflare auf der IT-Sicherheitsmesse it-sa 2026 das quelloffene Werkzeug AssetRadar, das Komponenten- und Versionsdaten automatisiert mit Schwachstellendatenbanken abgleicht. Frederic Tak-Kit Ong von Netskope betonte, dass schnelles Handeln vor allem Transparenz über SaaS, Cloud-Dienste, Schnittstellen und Lieferketten voraussetze.

Zugleich mahnte er, den CRA nicht mit NIS2 zu vermengen: Während NIS2 die Risikomanagementpflichten kritischer und wichtiger Einrichtungen stärke, adressiere der CRA spezifisch die Sicherheit von Produkten über deren gesamten Lebenszyklus.

Risikobasierte Compliance und Strafrahmen

Einen universellen technischen Standard für die CRA-Konformität gibt es nicht. Unternehmen können harmonisierte Normen, vertikale Produktstandards oder die EN-40000-Reihe heranziehen. Die Erfüllung von Industriestandards wie ISA/IEC 62443 begründet keine automatische Konformität.

Bei der Norm EN 62443 wird der dritte Entwurf für November 2026 oder später erwartet; ein universelles Mindestsicherheitslevel wird darin nicht vorgegeben. Anforderungen müssen daher zwingend risikobasiert hergeleitet und ein etwaiger Verzicht dokumentiert werden.

Bei Verstößen gegen die Melde- und Sorgfaltspflichten drohen Bußgeldobergrenzen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Zur Unterstützung bei der Anpassung an die Regulierung können KMU über das europäische SECURE-Projekt Fördermittel von bis zu 30.000 Euro bei einer Kofinanzierungsquote von 50 Prozent beantragen.