Ab dem 11. September 2026 gelten nach aktuellem Stand des Cyber Resilience Act (CRA) erste Meldepflichten für Hersteller von Produkten mit digitalen Elementen. Wer jetzt noch nicht weiß, ob er betroffen ist, hat keine Zeit mehr zu verlieren. Dieser Beitrag ordnet ein, was auf Hersteller zukommt, und liefert eine Checkliste für den Einstieg.
Was ist der Cyber Resilience Act?
Der CRA ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen einführt. Anders als viele bisherige Regelwerke deckt er nicht nur Software isoliert ab, sondern den gesamten Produktlebenszyklus: von der Entwicklung über die Markteinführung bis zur Wartung nach dem Verkauf.
Ziel ist, dass Hersteller Sicherheitslücken nicht mehr ignorieren oder erst auf öffentlichen Druck hin schließen. Stattdessen soll Sicherheit von Anfang an mitgedacht und über die gesamte Lebensdauer eines Produkts gepflegt werden.
Wer ist betroffen?
Grundsätzlich betrifft der CRA Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden. Das umfasst sowohl vernetzte Hardware als auch eigenständige Software. In der Praxis heißt das: Wer Software entwickelt und verkauft, ein IoT-Gerät herstellt oder ein Produkt mit eingebetteter Software anbietet, muss sich mit dem CRA auseinandersetzen.
Es gibt Ausnahmen, etwa für bestimmte bereits regulierte Bereiche wie Medizinprodukte oder für Open-Source-Software außerhalb eines kommerziellen Kontexts. Ob eine Ausnahme greift, ist im Einzelfall zu prüfen, nicht pauschal anzunehmen.
Die Frist wirkt weit weg. Ein funktionierender Meldeprozess braucht aber Vorlauf: Zuständigkeiten, Werkzeuge und eingeübte Abläufe entstehen nicht über Nacht.
Die zentrale Frist: 11. September 2026
Ab diesem Datum greifen nach aktuellem Stand Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Hersteller müssen der zuständigen Behörde und ENISA innerhalb enger Fristen Bericht erstatten, sobald sie von einer aktiv ausgenutzten Schwachstelle in ihrem Produkt erfahren. Eine erste Frühwarnung ist dabei deutlich früher fällig als der vollständige Bericht.
Diese Meldepflichten sind bewusst zeitkritisch angelegt. Wer erst nach einem Vorfall anfängt, einen Meldeweg zu entwerfen, wird die Frist kaum einhalten. Genau deshalb lohnt sich die Vorbereitung schon jetzt, unabhängig davon, wie weit der 11. September 2026 noch entfernt scheint.
Was „Meldepflicht" konkret bedeutet
Die Meldepflicht ist kein einmaliger Akt, sondern nach aktuellem Stand ein mehrstufiges Verfahren. Auf eine sehr kurzfristige Frühwarnung, sobald eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall bekannt wird, folgt eine detailliertere Meldung mit ersten Einschätzungen, und am Ende ein Abschlussbericht, sobald die Schwachstelle behoben oder der Vorfall abgeschlossen ist. Jede dieser Stufen hat eigene inhaltliche Anforderungen.
Für Hersteller bedeutet das: Ein Meldeprozess, der erst im Ernstfall entworfen wird, kommt zu spät. Wer die Fristen der ersten Stufe verpasst, weil intern noch geklärt wird, wer überhaupt zuständig ist, hat ein Problem, das sich nicht mehr rückgängig machen lässt.
Was Hersteller jetzt konkret tun sollten
Eine Checkliste für den Einstieg, unabhängig von Unternehmensgröße:
- Betroffenheit klären. Fällt Ihr Produkt unter den CRA? Welche Konformitätsstufe ist einschlägig? Diese Einordnung ist die Grundlage für alles Weitere.
- Schwachstellenmanagement aufbauen. Ein Prozess, der Schwachstellen systematisch erfasst, bewertet und nachverfolgt, inklusive Software-Stückliste (SBOM) für die verwendeten Komponenten.
- Meldewege einrichten. Wer meldet was, an wen, in welcher Frist? Diese Frage muss beantwortet sein, bevor der Ernstfall eintritt, nicht währenddessen.
- Verantwortlichkeiten festlegen. Eine benannte Person oder Rolle, die im Vorfall die Fäden zusammenhält, verhindert Verzögerung durch Unklarheit.
- Dokumentation und Nachweise aufbauen. Im Zweifel muss belegbar sein, dass Prozesse existieren und eingehalten werden, nicht nur behauptet werden.
- Lieferkette prüfen. Verwendete Software-Komponenten und Zulieferer bringen eigene Risiken mit, die in die eigene Bewertung einfließen müssen.
Typische Stolperfallen
In der Praxis scheitert die Vorbereitung selten an fehlendem Willen, sondern an drei wiederkehrenden Punkten. Erstens: Die Betroffenheitsprüfung wird als reine Rechtsfrage abgetan und liegt monatelang unbeantwortet bei der Rechtsabteilung. Zweitens: Das Schwachstellenmanagement existiert nur für die eigene Software, nicht für zugekaufte Komponenten und Bibliotheken, die oft den größeren Teil des Risikos ausmachen. Drittens: Die Meldewege sind zwar dokumentiert, aber nie geübt worden, sodass im Ernstfall wertvolle Zeit für Abstimmung verloren geht statt für die eigentliche Meldung.
Warum sich Automatisierung und Compliance hier treffen
Ein Schwachstellenmanagement-Prozess, der nur auf Papier existiert, hilft im Ernstfall wenig. Monitoring, Meldewege und Dokumentation lassen sich zu großen Teilen automatisieren: von der Erfassung neuer Schwachstellen bis zur strukturierten Vorbereitung der Meldung. Genau das ist der Punkt, an dem Automatisierung und Informationssicherheit zusammengehören, statt getrennt betrachtet zu werden.
Für die strukturelle Seite, Nachweise, Richtlinien und Maßnahmenverfolgung, betreiben wir mit CompliantDesk ein eigenes GRC-SaaS im laufenden Betrieb. Für die technische Seite, automatisierte Workflows für Monitoring und Meldewege, bauen wir passende Workflow-Automatisierung. Beides zusammengedacht, nicht als zwei getrennte Projekte: Ein Monitoring-Workflow, der eine neue Schwachstelle erkennt, kann direkt einen vordefinierten Meldeprozess in CompliantDesk anstoßen, inklusive Fristenüberwachung und Verantwortlichkeiten.
Kein Grund zur Panik, aber auch kein Grund zu warten
Der CRA ist kein Regelwerk, das über Nacht vollständige Umsetzung verlangt. Er ist aber auch kein Thema, das sich kurz vor der Frist noch abarbeiten lässt. Wer jetzt beginnt, die eigene Betroffenheit zu klären und erste Prozesse aufzubauen, hat im September 2026 einen entscheidenden Vorsprung gegenüber Unternehmen, die erst dann anfangen.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Einordnung der eigenen Betroffenheit und die rechtsverbindliche Umsetzung der CRA-Anforderungen sollten Sie mit einer spezialisierten Kanzlei klären. Wir schaffen die strukturelle und technische Grundlage.