Cyber Resilience Act: Neue Meldepflichten ab September 2026
Veröffentlicht am: 04.08.2026 um 04:48 Uhr | Redaktion boerse-global.de
Die Umsetzung der europäischen Digitalisierungs- und Nachhaltigkeitsstrategie erreicht im Sommer 2026 eine neue Phase. Mit der Bereitstellung der Testumgebung für das Register des Digitalen Produktpasses (DPP) durch die EU-Kommission Anfang August 2026 rückt die praktische Anwendung der Ökodesign-Verordnung (ESPR, EU 2024/1781) näher. Diese Entwicklung ist Teil eines umfassenden regulatorischen Rahmens, der von Produktsicherheit bis hin zu neuen Anforderungen an die Cybersicherheit reicht.
Rollout-Zeitplan für den Digitalen Produktpass
Das DPP-Register befindet sich bereits seit dem 19. Juli 2026 im Betrieb. Der Digitale Produktpass soll künftig als digitale Betriebsakte fungieren und einen zentralen Zugang zu produktrelevanten Daten ermöglichen. Die Einführung erfolgt dabei schrittweise und nach Produktgruppen differenziert.
Für Industriebatterien mit einer Leistung von mehr als 2kWh ist der sogenannte Batteriepass bereits für den 18. Februar 2027 fest terminiert. In den darauf folgenden Jahren soll das System ausgeweitet werden: Marktforscher und Branchenexperten rechnen damit, dass der DPP für die Sektoren Textilien und Stahl voraussichtlich im Zeitraum 2027 bis 2028 eingeführt wird. Für Elektronikprodukte wird mit einer breiten Verpflichtung zwischen 2028 und 2030 gerechnet, wobei für unterbrechungsfreie Stromversorgungen (USV) bereits ab 2027 spezifische Anforderungen gelten könnten.
Neben ökologischen Standards rückt auch die rechtssichere Einbindung digitaler Systeme immer stärker in den Fokus der Compliance. Dieser kostenlose Umsetzungsleitfaden zeigt Ihnen in 5 Schritten, wie Sie die komplexen Anforderungen der neuen EU-KI-Verordnung und relevante Übergangsfristen sicher meistern. EU AI Act Umsetzungsleitfaden kostenlos herunterladen
Unternehmen außerhalb der EU, insbesondere in der Schweiz, sehen sich durch diese Entwicklung vor Herausforderungen gestellt. Da der Marktzugang zur EU direkt an die Erfüllung dieser Anforderungen geknüpft ist, wird der Aufwand für die notwendige Datenaufbereitung auf etwa 12 bis 18 Monate geschätzt. Softwareanbieter wie GEMÜ reagieren bereits auf diesen Bedarf und präsentieren Lösungen wie die Asset-Management-Software CONEXO, die auf die Anforderungen des DPP zugeschnitten ist.
Neue Pflichten durch den Cyber Resilience Act
Parallel zur ökologischen Dokumentation verschärfen sich die Sicherheitsanforderungen für digitale Produkte. Der Cyber Resilience Act (CRA) sieht eine gestaffelte Einführung von Pflichten vor. Ab dem 11. September 2026 treten erste Meldepflichten in Kraft. Die vollständigen Produktpflichten werden für Ende 2027 erwartet.
Ab Dezember 2027 müssen Produkte zwingend das CE-Kennzeichen tragen und nach dem Prinzip „Security by Design“ entwickelt sein. Zu den zentralen Vorgaben gehört das Verbot fest codierter Anmeldedaten. Zudem müssen Sicherheitslücken innerhalb von 24 bis 72 Stunden gemeldet werden. Bei Verstößen drohen empfindliche Sanktionen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Wer sich mit neuen digitalen Verordnungen befasst, sollte auch die aktuellen Entwicklungen im Bereich der IT-Sicherheit nicht ignorieren. Ein neuer Gratis-Report klärt darüber auf, welche rechtlichen Pflichten und Cyberrisiken durch neue KI-Gesetze auf Unternehmen zukommen. Kostenlosen Cyber-Security-Report jetzt sichern
Ein wesentlicher Bestandteil des CRA ist die Forderung nach einer Software-Stückliste (SBOM). Analysen deuten darauf hin, dass durch eine präzise Reachability-Analyse die Anzahl der relevanten CVE-Meldungen um bis zu 90 Prozent reduziert werden könnte. Um Unternehmen bei der Vorbereitung zu unterstützen, kooperieren Organisationen wie die Eclipse Foundation und OWASP bereits mit Ressourcen und Webinaren zum Thema CRA-Readiness.
Compliance-Druck durch begleitende Verordnungen
Der regulatorische Druck wird durch weitere Gesetze verstärkt. Die neue Maschinenverordnung (2023/1230) verlangt ab dem 20. Januar 2027 eine detaillierte Dokumentation von Software, Netzwerkstrukturen und Fernwartungszugängen.
Dass die zeitgerechte Umsetzung solcher Vorgaben für die Wirtschaft eine Hürde darstellt, zeigt ein Blick auf die NIS2-Richtlinie in Deutschland. Obwohl diese bereits seit Dezember 2025 gilt und die Meldefrist bis zum 31. Juli 2026 lief, haben Berichten zufolge etwa zwei Drittel der rund 29.500 betroffenen Unternehmen diese Frist verpasst. Experten mahnen daher zur frühzeitigen Auseinandersetzung mit den kommenden Anforderungen des Digitalen Produktpasses und des Cyber Resilience Acts, um die Marktkonformität sicherzustellen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
