Die kurze Antwort
Ab dem 11. September 2026 verpflichtet der EU Cyber Resilience Act alle Hersteller von Produkten mit digitalen Elementen zur aktiven Schwachstellenmeldung. Wer eine aktiv ausgenutzte Sicherheitslücke in seinem Produkt entdeckt, muss innerhalb von 24 Stunden eine Frühwarnung an ENISA und das nationale CSIRT (in Deutschland: CERT-Bund beim BSI) absetzen, innerhalb von 72 Stunden einen vollständigen Vorfallbericht und spätestens nach 14 Tagen einen Abschlussbericht.
Die Meldepflicht gilt auch für Produkte, die bereits vor Inkrafttreten des CRA auf dem Markt waren. Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes machen die Frist zur Chefsache — nicht nur für CISOs, sondern für Geschäftsleitungen.
Was ab 11. September greift
Der CRA teilt seine Anforderungen in Wellen auf. Die erste Welle — Artikel 14 der Verordnung — betrifft ausschließlich die Meldepflichten bei Schwachstellen und Sicherheitsvorfällen. Konkret geht es um zwei Szenarien:
- Aktiv ausgenutzte Schwachstellen (actively exploited vulnerabilities): Sicherheitslücken, für die im freien Feld bereits Exploit-Code eingesetzt wird — unabhängig davon, ob das eigene Produkt bereits angegriffen wurde.
- Schwere Sicherheitsvorfälle: Vorfälle, die die Sicherheit des Produkts erheblich beeinträchtigen oder erhebliche Auswirkungen auf Nutzer haben können.
Beide Kategorien lösen die mehrstufige Meldekette aus. Wichtig: Ein Patch muss zum Zeitpunkt der Meldung noch nicht verfügbar sein — gemeldet wird, sobald der Hersteller Kenntnis erlangt.
Teams, die Individualsoftware entwickeln oder vertreiben, sollten jetzt prüfen, ob ihre Produkte in den Anwendungsbereich fallen und wie die Meldewege intern aussehen sollen — spätestens dann, wenn ein Sicherheitsvorfall unter Zeitdruck verarbeitet werden muss, ist kein Raum mehr für Ad-hoc-Strukturen.
Die drei Meldefristen im Detail
Der CRA definiert eine dreistufige Meldestruktur, die operativ in dieser Reihenfolge abzuarbeiten ist:
| Stufe | Frist | Empfänger | Inhalt |
|---|---|---|---|
| Frühwarnung | 24 Stunden | ENISA + nationales CSIRT (DE: CERT-Bund beim BSI) | Bestätigung des Vorfalls, erste Einschätzung zu Schwere und Art; noch kein vollständiges Lagebild erforderlich |
| Vorfallbericht | 72 Stunden | ENISA + nationales CSIRT | Detaillierte Beschreibung, betroffene Versionen, erster Stand zur Ursache, Maßnahmen im Gange |
| Abschlussbericht | 14 Tage | ENISA + nationales CSIRT | Vollständige Analyse, Root Cause, implementierter oder geplanter Fix, Lessons Learned |
Die 24-Stunden-Frist beginnt, sobald der Hersteller von der aktiven Ausnutzung Kenntnis erlangt — nicht erst bei Bestätigung oder Schadensfeststellung. Interne Triage-Prozesse, mit denen Hersteller bisher zwei bis drei Tage kalkuliert haben, greifen unter dem CRA nicht mehr.
Gleichzeitig sind Hersteller nach dem CRA verpflichtet, Nutzer über ausgenutzte Schwachstellen zu informieren, die sie betreffen könnten — die Behördenmeldung allein reicht nicht.
Wer betroffen ist
Die Meldepflicht gilt für alle, die Produkte mit digitalen Elementen herstellen und auf dem EU-Markt in Verkehr bringen. Das schließt ein:
- Unternehmen, die kommerzielle Software entwickeln und vertreiben — SaaS, On-Premises, embedded
- Hersteller vernetzter Hardware (IoT, industrielle Steuerungen, Medizingeräte mit Software)
- Unternehmen, die Open-Source-Komponenten monetarisieren (gewerbliche Nutzung mit kommerzieller Aktivität)
Reine Open-Source-Entwicklung ohne kommerzielle Aktivität ist ausgenommen. Rund 90 Prozent aller Produkte fallen laut EU-Kommission in die Standardkategorie, für die keine Drittprüfung erforderlich ist — wohl aber der vollständige Meldeprozess und die übrigen Sicherheitspflichten.
Unternehmen aus der DACH-Region, die Software für den EU-Markt entwickeln, unterliegen dem CRA unabhängig davon, ob sie ihren Sitz in Deutschland, Österreich oder der Schweiz haben. Schweizer Unternehmen ohne EU-Niederlassung müssen gemäß CRA einen EU-Bevollmächtigten benennen.
Welche Infrastruktur Hersteller jetzt brauchen
Der 24-Stunden-Takt setzt voraus, dass bestimmte Strukturen bereits existieren, bevor ein Vorfall eintritt. Folgende Elemente gelten als Mindestanforderung:
- Vulnerability-Disclosure-Prozess: Eine öffentlich erreichbare Kontaktstelle für Sicherheitsmeldungen — üblicherweise über eine
security.txt-Datei nach RFC 9116 — muss aktiv sein und überwacht werden. - Internes Triage-System: Eingehende Schwachstellenmeldungen müssen innerhalb von Stunden klassifiziert werden. CVSS 4.0 ist aktuell die empfohlene Scoring-Methode.
- Meldekanal zum BSI/CERT-Bund: Für Deutschland stellt das BSI eine zentrale Meldeplattform bereit. Der Zugang muss vorab eingerichtet sein — ein erster Kontakt unter Zeitdruck ist keine Option.
- Benachrichtigungsverfahren für Nutzer: Parallel zur Behördenmeldung müssen betroffene Nutzer informiert werden; das erfordert aktuelle Nutzerdaten und einen kommunizierbaren Kanal.
Die EU-Kommission hat ein über 80-seitiges Leitliniendokument mit 67 Praxisbeispielen veröffentlicht, das beschreibt, was unter einer „aktiv ausgenutzten Schwachstelle" zu verstehen ist und wie die Meldestruktur aufzubauen ist.
Was Dezember 2027 zusätzlich bringt
Ab dem 11. Dezember 2027 treten die vollständigen Produktanforderungen des CRA in Kraft. Dann müssen Hersteller nachweisen, dass ihre Produkte:
- nach Secure-by-Design-Prinzipien entwickelt wurden (keine hartcodierten Zugangsdaten, minimale Angriffsfläche, kryptografisch signierte Updates)
- eine Software Bill of Materials (SBOM) im maschinenlesbaren Format vorhalten
- mindestens fünf Jahre aktive Sicherheitsunterstützung — Patches, Updates, Schwachstellenbehebung — bieten (es sei denn, die erwartete Produktlebensdauer ist kürzer)
- CE-Konformität nachweisen und die entsprechende Kennzeichnung tragen
Produkte, die nach dem 11. Dezember 2027 ohne CRA-Konformität auf dem EU-Markt verkauft werden, dürfen nicht mehr in Verkehr gebracht werden. Das betrifft auch Produkte, die heute bereits entwickelt werden — wer jetzt mit dem Aufbau CRA-konformer Entwicklungsprozesse beginnt, vermeidet einen Nachbesserungsschub unter Zeitdruck in 16 Monaten.
Handlungsempfehlungen für DACH-Teams
Die verbleibenden 32 Tage bis zum 11. September lassen sich strukturiert nutzen:
- Betroffenheitsanalyse: Prüfen, ob eigene Produkte unter den CRA fallen — Herstellereigenschaft, EU-Marktpräsenz, Produktkategorie (Standard / Klasse I / Klasse II).
- Security.txt einrichten: Eine
/.well-known/security.txt-Datei nach RFC 9116 veröffentlichen, die einen funktionierenden Kontaktkanal für Schwachstellenmeldungen enthält. - BSI-Meldeportal registrieren: Kontakt mit CERT-Bund aufnehmen und den Zugang zur Meldeplattform einrichten, bevor ein Vorfall den Testlauf erzwingt.
- Triage-Prozess definieren: Klare Verantwortlichkeiten und Eskalationspfade für eingehende Schwachstellenmeldungen festlegen — inklusive einem On-Call-Konzept für Wochenenden und Nächte.
- Nutzerkommunikation vorbereiten: Templates und Verteiler für die Nutzerbenachrichtigung bei Schwachstellen aufsetzen; Datenschutz und Kontaktdaten prüfen.
- SBOM-Prozess anstoßen: Auch wenn SBOM erst 2027 Pflicht wird, empfiehlt es sich, schon jetzt Abhängigkeitsinventare zu führen — das erleichtert die spätere CRA-Konformität und die laufende Schwachstellenverfolgung.
FAQ
- Was muss ab dem 11. September 2026 gemeldet werden?
- Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in Produkten mit digitalen Elementen. Die Frühwarnung muss innerhalb von 24 Stunden an ENISA und das nationale CSIRT (in Deutschland: CERT-Bund beim BSI) erfolgen, die vollständige Meldung innerhalb von 72 Stunden, der Abschlussbericht innerhalb von 14 Tagen.
- Wer ist vom Cyber Resilience Act betroffen?
- Alle Hersteller von Produkten mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden. Rund 90 Prozent der Produkte fallen in die Standardkategorie, für die eine Selbstbewertung ausreicht. Nur kritische Produktklassen erfordern eine externe Konformitätsbewertung.
- Welche Strafen drohen bei Verstößen?
- Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist.
- Was gilt ab Dezember 2027?
- Ab dem 11. Dezember 2027 treten alle Produktanforderungen in Kraft: CE-Kennzeichnung, SBOM, Secure-by-Design, mindestens fünf Jahre Sicherheitsunterstützung. Produkte ohne CRA-Konformität dürfen nicht mehr in der EU verkauft werden.
Quellen: Borncity · IT-Boltwise · IT-Daily · BSI TR-03183