Für Hersteller von Produkten mit digitalen Elementen beginnt am 11. September 2026 eine neue Phase der europäischen Cybersicherheitsregulierung. Von diesem Tag an gelten die Meldepflichten des Cyber Resilience Act (CRA). Unternehmen müssen dann bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die Auswirkungen auf die Sicherheit ihrer Produkte haben, innerhalb kurzer Fristen an die zuständigen Stellen melden.

Besonders relevant ist diese neue Verpflichtung, weil die übrigen wesentlichen Anforderungen des Cyber Resilience Act grundsätzlich erst ab dem 11. Dezember 2027 vollständig anwendbar werden. Für die Meldepflicht gilt dagegen bereits der 11. September 2026. Hersteller müssen deshalb schon jetzt über Prozesse verfügen, mit denen sie Sicherheitslücken erkennen, bewerten und innerhalb kürzester Zeit die erforderlichen Meldungen abgeben können.

Zusätzliche Orientierung bietet die Europäische Kommission. Sie hat am 27. Juli 2026 praktische Leitlinien veröffentlicht, die Hersteller, Entwickler und Unternehmen bei der Umsetzung des Cyber Resilience Act unterstützen sollen. Der Zeitpunkt ist damit besonders relevant: Unternehmen haben nur noch wenige Wochen, um ihre internen Abläufe auf die neuen Meldepflichten vorzubereiten.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act ist eine europäische Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Er erfasst grundsätzlich Hardware- und Softwareprodukte, die auf dem EU-Markt bereitgestellt werden und deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte logische oder physische Verbindung zu einem Gerät oder Netzwerk umfasst.

Der Anwendungsbereich ist entsprechend weit. Er kann sowohl fertige Produkte als auch separat auf dem Markt bereitgestellte Komponenten erfassen. In der Praxis können damit beispielsweise vernetzte Geräte, Softwareprodukte und digitale Komponenten unter die Verordnung fallen.

Der CRA verfolgt das Ziel, die Cybersicherheit digitaler Produkte in der Europäischen Union nachhaltig zu erhöhen. Hersteller sollen Sicherheitsaspekte bereits bei Planung, Entwicklung und Produktion berücksichtigen. Gleichzeitig müssen Schwachstellen während des vorgesehenen Produktlebenszyklus angemessen behandelt werden.

Cybersicherheit wird damit zu einer Aufgabe, die nicht erst nach einem erfolgreichen Angriff beginnt. Sie soll bereits in der Produktentwicklung berücksichtigt und während der gesamten vorgesehenen Nutzungsdauer eines Produkts fortlaufend gewährleistet werden.

Die Meldepflicht beginnt am 11. September 2026

Der Cyber Resilience Act ist bereits am 10. Dezember 2024 in Kraft getreten. Die wesentlichen Bestimmungen des Regelwerks gelten grundsätzlich ab dem 11. Dezember 2027. Eine wichtige Ausnahme bilden jedoch die Meldepflichten aus Artikel 14 des CRA: Sie gelten bereits ab dem 11. September 2026.

Hersteller müssen ab diesem Zeitpunkt aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, von denen sie Kenntnis erlangen und die Auswirkungen auf die Sicherheit ihrer Produkte mit digitalen Elementen haben.

Dabei beschränkt sich die Meldepflicht nicht auf Produkte, die erst nach Dezember 2027 auf den Markt kommen. Nach den Informationen der Europäischen Kommission kann sie vielmehr auch Produkte mit digitalen Elementen erfassen, die bereits vor dem 11. Dezember 2027 auf dem EU-Markt bereitgestellt wurden. Unternehmen können sich daher nicht allein darauf berufen, dass ein Produkt vor dem vollständigen Anwendungsbeginn des CRA erstmals auf den Markt gebracht wurde.

Maßgeblich ist damit nicht ausschließlich der Zeitpunkt des erstmaligen Inverkehrbringens, sondern auch die Frage, ob ein Produkt weiterhin auf dem Unionsmarkt verfügbar ist. Sogenannte Legacy-Produkte, die bereits vor dem 11. Dezember 2027 auf den Markt gebracht wurden, können deshalb ab dem 11. September 2026 Meldepflichten auslösen, solange sie auf dem EU-Markt bereitgestellt werden.

Für Hersteller bedeutet dies, dass sich die Bestandsaufnahme nicht auf aktuelle Produktgenerationen beschränken sollte. Auch ältere, weiterhin vertriebene oder unterstützte Produkte gehören in die Übersicht der potenziell meldepflichtigen Produkte.

Was müssen Hersteller künftig melden?

Der CRA unterscheidet im Kern zwischen zwei relevanten Fallgruppen: aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen.

Bei einer aktiv ausgenutzten Schwachstelle geht es um eine Sicherheitslücke, die tatsächlich von Angreifern ausgenutzt wird. Der Gesetzgeber will damit insbesondere verhindern, dass Hersteller erst lange nach Bekanntwerden konkreter Angriffe reagieren. Daneben bestehen Meldepflichten für schwerwiegende Sicherheitsvorfälle, die Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen haben.

Beide Begriffe sind näher konturiert. Eine aktiv ausgenutzte Schwachstelle setzt voraus, dass belastbare Nachweise für eine tatsächliche Ausnutzung durch einen Angreifer vorliegen. Eine lediglich theoretische Ausnutzbarkeit oder ein bloßer Verdacht reichen danach nicht aus. Entscheidend ist ein belastbarer Evidenznachweis.

Ein schwerwiegender Sicherheitsvorfall liegt demgegenüber unter anderem dann vor, wenn die Fähigkeit eines Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, negativ betroffen ist oder betroffen sein kann. Gleiches gilt, wenn es infolge eines Vorfalls zur Einbringung oder Ausführung von Schadcode gekommen ist oder kommen kann.

Bemerkenswert ist, dass bereits die Möglichkeit einer solchen Beeinträchtigung ausreichen kann. Die Meldepflicht setzt also nicht zwingend voraus, dass sich ein Schaden bereits realisiert hat. Für die interne Bewertung bedeutet dies, dass Unternehmen auch potenzielle Auswirkungen eines Vorfalls nachvollziehbar dokumentieren und bewerten müssen.

Entscheidend ist deshalb, dass Unternehmen nicht nur allgemein über Cyberangriffe informiert werden. Sie müssen Sicherheitsereignisse zugleich technisch und rechtlich einordnen können. Die zentrale Herausforderung besteht darin, innerhalb kurzer Zeit zu erkennen, ob ein Vorfall unter die Meldepflicht des CRA fällt und welche Informationen für die jeweilige Meldestufe erforderlich sind.

24 Stunden für die erste Warnung

Besonders streng ist die erste Frist bei meldepflichtigen Sicherheitsereignissen. Hersteller müssen eine Frühwarnung grundsätzlich innerhalb von 24 Stunden ab dem Zeitpunkt abgeben, zu dem sie von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall Kenntnis erlangt haben.

Für Unternehmen entsteht dadurch erheblicher organisatorischer Zeitdruck. Zwischen dem ersten Hinweis auf ein Sicherheitsproblem und einer möglichen gesetzlichen Meldepflicht können nur wenige Stunden liegen.

Die Meldung erfolgt über die sogenannte CRA Single Reporting Platform. Zuständig sind dabei das Computer Security Incident Response Team (CSIRT) des Mitgliedstaates, in dem der Hersteller seine Hauptniederlassung hat, sowie die Europäische Agentur für Cybersicherheit ENISA. Das zunächst empfangende CSIRT leitet die Meldung anschließend an weitere betroffene CSIRTs in den Mitgliedstaaten weiter, in denen das Produkt auf dem Markt bereitgestellt wurde.

Für die Bestimmung des zuständigen CSIRT kommt es auf die Hauptniederlassung des Herstellers an. Als Hauptniederlassung gilt der Ort in der Union, an dem die Entscheidungen über die Cybersicherheit der Produkte mit digitalen Elementen überwiegend getroffen werden. Maßgeblich ist damit nicht zwangsläufig der formale Unternehmenssitz oder der größte Standort, sondern die tatsächliche Entscheidungsstruktur im Bereich Cybersecurity.

Für Hersteller ohne Hauptniederlassung in der Union sieht der CRA eine gesetzliche Kaskade vor. Zuständig ist zunächst der Mitgliedstaat, in dem der bevollmächtigte Vertreter – der Authorised Representative – niedergelassen ist. Fehlt ein solcher, kommt es auf den Sitz des Importeurs und anschließend auf den des Händlers an. Lässt sich auch auf diesem Weg kein Mitgliedstaat bestimmen, ist der Mitgliedstaat maßgeblich, in dem die meisten Nutzer des Produkts ansässig sind.

Gerade international aufgestellte Hersteller sollten diese Zuordnung deshalb bereits im Vorfeld klären und dokumentieren. Innerhalb der 24-Stunden-Frist bleibt im Ernstfall regelmäßig keine Zeit, die Zuständigkeitsfrage erstmals zu prüfen.

Die CRA Single Reporting Platform soll bis zum 11. September 2026 betriebsbereit sein. Vorgesehen ist zudem ein Testzeitraum, in dem die Meldewege bereits vor Beginn der Meldepflicht erprobt werden können. Unternehmen sollten diese Möglichkeit nutzen, um Zugänge, Verantwortlichkeiten und die technische Handhabung der Plattform nicht erst im Krisenfall zu klären.

Für Hersteller stellt sich damit schon vor dem Stichtag eine ganz praktische Frage: Wer darf und kann im Unternehmen im Fall eines Cybervorfalls innerhalb von 24 Stunden verbindlich über die Meldepflicht entscheiden?

Nach 72 Stunden folgt die Hauptmeldung

Mit der ersten Warnung ist das Verfahren nicht abgeschlossen.

Innerhalb von 72 Stunden muss eine sogenannte Hauptmeldung eingereicht werden. Damit sollen die zuständigen Stellen detailliertere Informationen über die Schwachstelle oder den Sicherheitsvorfall erhalten. Die ersten 24 Stunden dienen vor allem der schnellen Warnung. Innerhalb der darauffolgenden Frist müssen die verfügbaren Informationen weiter konkretisiert werden.

Für Unternehmen bedeutet dies, dass sie innerhalb kurzer Zeit nicht nur auf einen Vorfall reagieren, sondern parallel eine belastbare technische und rechtliche Bewertung durchführen müssen.

Eine klare interne Kommunikation ist dafür entscheidend. IT-Security, Incident Response, Produktentwicklung, Compliance und Rechtsabteilung sollten im Ernstfall nicht nacheinander, sondern möglichst koordiniert arbeiten.

Der Abschlussbericht bei aktiv ausgenutzten Schwachstellen

Auch nach der Hauptmeldung ist der Vorgang für den Hersteller nicht abgeschlossen. Bei einer aktiv ausgenutzten Schwachstelle muss spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist, ein Abschlussbericht eingereicht werden.

Diese Regelung verdeutlicht, wie eng die Meldepflicht mit dem Vulnerability Management eines Herstellers verbunden ist. Unternehmen müssen nicht nur erkennen, dass eine Sicherheitslücke aktiv ausgenutzt wird. Sie müssen auch dokumentieren, welche Maßnahmen zur Behebung oder Eindämmung ergriffen wurden und wann eine entsprechende Korrektur- oder Abhilfemaßnahme verfügbar war.

Die Dokumentation der einzelnen Schritte wird damit zu einem wesentlichen Bestandteil der Compliance. Unternehmen sollten nachvollziehbar festhalten können, wann sie von einer Schwachstelle erfahren haben, welche Bewertung vorgenommen wurde und zu welchem Zeitpunkt welche Maßnahmen verfügbar waren.

Dazu gehört auch eine nachvollziehbare Dokumentation der Evidenzlage. Da eine aktiv ausgenutzte Schwachstelle einen belastbaren Nachweis der tatsächlichen Ausnutzung voraussetzt, sollte klar festgehalten werden, auf welche Erkenntnisse sich diese Einordnung stützt.

Bei schwerwiegenden Vorfällen gilt eine andere Abschlussfrist

Auch bei schwerwiegenden Sicherheitsvorfällen gilt ein gestuftes Meldeverfahren. Nach der Frühwarnung innerhalb von 24 Stunden und der Hauptmeldung innerhalb von 72 Stunden muss der Hersteller einen Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Meldung einreichen.

Die unterschiedlichen Fristen zeigen, dass Unternehmen die beiden Fallgruppen zuverlässig voneinander unterscheiden müssen. Ein standardisierter Prozess, bei dem jeder Cybervorfall identisch behandelt wird, dürfte daher in der Praxis nicht ausreichen.

Vielmehr sollten Unternehmen Kriterien entwickeln, anhand derer sie feststellen können, ob es sich um eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall handelt und welche weiteren Schritte daraus folgen.

Als Anknüpfungspunkte bieten sich die gesetzlichen Merkmale an: auf der einen Seite der belastbare Nachweis einer tatsächlichen Ausnutzung, auf der anderen Seite die tatsächliche oder mögliche Beeinträchtigung von Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten und Funktionen sowie die Einbringung oder Ausführung von Schadcode.

Die Meldepflicht ist nicht nur eine Aufgabe der IT-Abteilung

Die neuen Vorgaben verändern die interne Organisation vieler Unternehmen. Sicherheitslücken und Cyberangriffe werden traditionell häufig zunächst von IT- und Security-Teams bearbeitet. Unter dem CRA reicht eine rein technische Reaktion jedoch nicht mehr aus.

Sobald ein Ereignis möglicherweise eine gesetzliche Meldepflicht auslöst, müssen technische und rechtliche Fragen unmittelbar miteinander verbunden werden.

Unternehmen sollten deshalb frühzeitig festlegen:

• Wer nimmt Hinweise auf Sicherheitslücken entgegen?
• Wer bewertet, ob eine Schwachstelle aktiv ausgenutzt wird?
• Wer entscheidet, ob ein Sicherheitsvorfall als schwerwiegend einzustufen ist?
• Wer wird innerhalb der ersten 24 Stunden informiert?
• Wer darf eine Meldung abgeben?
• Wer koordiniert die Kommunikation mit CSIRT und ENISA?
• Welches CSIRT ist nach der Hauptniederlassung des Unternehmens zuständig?
• Wer dokumentiert die getroffenen Entscheidungen?

Gerade die kurze 24-Stunden-Frist macht es erforderlich, dass diese Zuständigkeiten nicht erst im Krisenfall geklärt werden.

Vulnerability Management wird zur rechtlichen Pflicht

Der CRA geht weit über die reine Meldepflicht hinaus. Hersteller müssen Sicherheitslücken ihrer Produkte während des vorgesehenen Supportzeitraums effektiv behandeln.

Dazu gehört, dass Schwachstellen identifiziert und behoben werden können. Die Sicherheitsanforderungen des CRA beziehen sich deshalb nicht nur auf den Zeitpunkt, an dem ein Produkt erstmals auf den Markt gebracht wird. Hersteller müssen einen Supportzeitraum festlegen, während dessen sie die Schwachstellen ihres Produkts effektiv behandeln. Das Ende dieses Zeitraums muss zudem zum Zeitpunkt des Kaufs klar und verständlich angegeben werden.

Damit wird Vulnerability Management zu einem wesentlichen Bestandteil der Produkt-Compliance. Unternehmen müssen prüfen, ob ihre bisherigen Prozesse zur Erkennung, Bewertung und Behebung von Schwachstellen den Anforderungen des CRA entsprechen.

Auch die Produktentwicklung ist betroffen

Der Cyber Resilience Act setzt bereits bei der Entwicklung eines Produkts an. Hersteller müssen sicherstellen, dass Produkte mit digitalen Elementen die wesentlichen Cybersicherheitsanforderungen erfüllen. Dazu müssen sie unter anderem eine Cybersicherheitsrisikobewertung durchführen. Diese soll bei Planung, Design, Entwicklung, Produktion, Lieferung und Wartung des Produkts berücksichtigt werden.

Auch der Einsatz von Komponenten Dritter ist relevant. Hersteller müssen die erforderliche Sorgfalt walten lassen, damit solche Komponenten die Cybersicherheit des eigenen Produkts nicht beeinträchtigen. Die Ergebnisse der Risikobewertung und die gewählten Maßnahmen zur Umsetzung der Sicherheitsanforderungen müssen in der technischen Dokumentation berücksichtigt werden.

Der CRA betrifft damit nicht nur den späteren Umgang mit Sicherheitsvorfällen. Unternehmen sollten vielmehr ihre gesamte Produktentwicklung daraufhin überprüfen, ob Sicherheitsrisiken systematisch erfasst, bewertet und dokumentiert werden.

Was bedeutet der CRA für Importeure und Händler?

Die Hauptverantwortung für die Erfüllung der Produktanforderungen liegt beim Hersteller. Dennoch sind auch weitere Wirtschaftsakteure innerhalb der Lieferkette betroffen.

Importeure müssen unter anderem prüfen, ob die erforderlichen Konformitätsverfahren durchgeführt wurden, die technische Dokumentation vorhanden ist und das Produkt die erforderliche CE-Kennzeichnung trägt. Auch Händler haben Prüf- und Mitwirkungspflichten. Sie müssen darauf achten, dass relevante Anforderungen erfüllt sind, und bei bekannt gewordenen Schwachstellen entsprechende Informationen an den Hersteller weitergeben.

Hinzu kommt, dass bevollmächtigte Vertreter, Importeure und Händler für die Bestimmung der Zuständigkeit eine wichtige Rolle spielen können. Verfügt ein Hersteller über keine Hauptniederlassung in der Union, bestimmt sich das zuständige CSIRT nach der beschriebenen gesetzlichen Kaskade und damit gerade anhand dieser Akteure.

Der Cyber Resilience Act betrifft deshalb keineswegs ausschließlich Unternehmen, die selbst Software entwickeln. Auch Unternehmen, die digitale Produkte importieren oder vertreiben, sollten prüfen, welche Pflichten sie in ihrer konkreten Rolle treffen.

Warum Unternehmen jetzt handeln sollten

Der 11. September 2026 ist kein ferner Termin mehr. Die kurze Frist von 24 Stunden für die erste Warnung macht es erforderlich, dass Unternehmen bereits vor Beginn der Meldepflicht funktionierende Prozesse eingerichtet haben.

Zunächst sollte geklärt werden, welche Produkte überhaupt unter den CRA fallen. Anschließend empfiehlt sich eine Prüfung der bestehenden Prozesse für Vulnerability Management und Incident Response. Besonders wichtig ist dabei die Frage, ob ein Unternehmen innerhalb von 24 Stunden zuverlässig feststellen kann, wann es von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall Kenntnis erlangt hat.

Denn von diesem Zeitpunkt können die gesetzlichen Fristen abhängen.

Unternehmen sollten deshalb insbesondere prüfen, ob Sicherheitsmeldungen zentral erfasst werden, ob eine klare Eskalationskette existiert und ob auch außerhalb der üblichen Geschäftszeiten eine verantwortliche Person erreichbar ist.

Die neue praktische Orientierung der Europäischen Kommission

Für Unternehmen kommt die Veröffentlichung der neuen praktischen Leitlinien der Europäischen Kommission zum richtigen Zeitpunkt. Am 27. Juli 2026 hat die Kommission praktische Hinweise veröffentlicht, die Hersteller, Entwickler und Unternehmen bei der Umsetzung des Cyber Resilience Act unterstützen sollen. Die Leitlinien sollen insbesondere dabei helfen, die neuen Anforderungen besser zu verstehen und in der Praxis umzusetzen.

Rechtlich handelt es sich um praktische, nicht bindende Umsetzungshilfen. Die Leitlinien entfalten keine eigene rechtliche Verbindlichkeit und treten weder an die Stelle des Verordnungstextes noch an die Stelle seiner Auslegung durch die zuständigen Behörden und Gerichte.

Für die Praxis sind sie dennoch von erheblicher Bedeutung. Sie machen sichtbar, wie die Kommission zentrale Begriffe und Pflichten des CRA versteht, und bieten damit einen belastbaren Orientierungsrahmen für die Gestaltung interner Prozesse.

Für Unternehmen bietet sich dadurch die Gelegenheit, die eigenen Abläufe unmittelbar vor Beginn der Meldepflicht noch einmal mit den aktuellen europäischen Umsetzungshinweisen abzugleichen.

Gleichzeitig ersetzt eine solche Orientierungshilfe nicht die Prüfung des konkreten Einzelfalls. Die Europäische Kommission weist selbst darauf hin, dass die Zusammenfassung des CRA lediglich dem allgemeinen Verständnis dient und für eine verbindliche rechtliche Bewertung auf den eigentlichen Verordnungstext zurückgegriffen werden sollte.

Die wichtigsten Maßnahmen bis September 2026

Für Hersteller von Produkten mit digitalen Elementen empfiehlt sich insbesondere:

• prüfen, welche Produkte und Komponenten in den Anwendungsbereich des CRA fallen,
• auch Bestands- und Legacy-Produkte einbeziehen, die weiterhin auf dem EU-Markt bereitgestellt werden,
• Verantwortlichkeiten für Cybersecurity und CRA-Compliance festlegen,
• ein Verfahren zur Erkennung und Bewertung von Schwachstellen etablieren,
• aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle eindeutig klassifizieren,
• die Evidenzlage bei aktiv ausgenutzten Schwachstellen nachvollziehbar dokumentieren,
• die 24-Stunden-Frist für die Frühwarnung in die Incident-Response-Prozesse integrieren,
• die 72-Stunden-Frist für die Hauptmeldung organisatorisch vorbereiten,
• Prozesse für Abschlussberichte einrichten,
• das zuständige CSIRT anhand der Hauptniederlassung beziehungsweise der gesetzlichen Kaskade bestimmen,
• die Kommunikation mit CSIRT und ENISA vorbereiten,
• die CRA Single Reporting Platform in die Meldeprozesse einbeziehen und den vorgesehenen Testzeitraum nutzen,
• Sicherheitsvorfälle und getroffene Entscheidungen nachvollziehbar dokumentieren,
• bestehende Vulnerability-Management-Prozesse überprüfen,
• Supportzeiträume und deren Kommunikation prüfen,
• Lieferanten und Drittanbieter-Komponenten in die Sicherheitsprozesse einbeziehen,
• die weiteren CRA-Anforderungen mit Blick auf den 11. Dezember 2027 vorbereiten.

Gerade die Dokumentation sollte dabei nicht unterschätzt werden. Unternehmen müssen im Zweifel nachvollziehbar darlegen können, wann sie von einem Sicherheitsproblem Kenntnis erlangt haben, wie dieses bewertet wurde und welche Maßnahmen anschließend ergriffen wurden.

Was nach September 2026 kommt

Mit dem 11. September 2026 beginnt die Anwendung der Meldepflichten. Die Umsetzung des Cyber Resilience Act ist damit jedoch noch lange nicht abgeschlossen.

Die wesentlichen weiteren Verpflichtungen gelten grundsätzlich ab dem 11. Dezember 2027. Dann müssen die umfassenden Anforderungen des CRA an Produkte mit digitalen Elementen und deren Cybersicherheit grundsätzlich eingehalten werden.

Dazu zählen unter anderem Anforderungen an sichere Entwicklung, Risikobewertung, Vulnerability Management, technische Dokumentation und Konformitätsbewertung. Für bestimmte Produktkategorien gelten zudem besondere Anforderungen an die Konformitätsbewertung. Bei wichtigen und kritischen Produkten kann eine Bewertung durch eine unabhängige notifizierte Stelle erforderlich sein. Unternehmen sollten daher bereits jetzt prüfen, ob ihre Produkte möglicherweise in eine dieser Kategorien fallen.

Die Zeit bis Dezember 2027 sollte deshalb genutzt werden, um die gesamte Produkt- und Compliance-Struktur schrittweise an die neuen Anforderungen anzupassen.

Cybersecurity wird zur Compliance-Frage

Der Cyber Resilience Act verändert den rechtlichen Umgang mit Cybersicherheit in der Europäischen Union grundlegend. Hersteller müssen sich künftig nicht nur technisch gegen Cyberangriffe schützen. Sie müssen auch organisatorisch in der Lage sein, Sicherheitslücken während des Produktlebenszyklus zu behandeln und bestimmte Ereignisse innerhalb kürzester Zeit zu melden.

Der 11. September 2026 ist dabei der erste entscheidende Stichtag. Von diesem Tag an müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach den Vorgaben des CRA melden. Die erste Warnung kann innerhalb von nur 24 Stunden erforderlich sein. Weitere Meldungen und Abschlussberichte folgen innerhalb festgelegter Fristen.

Unternehmen sollten deshalb jetzt prüfen, ob ihre bestehenden Prozesse diesen Anforderungen gerecht werden. Entscheidend ist nicht allein, ob ein technisches Sicherheitsteam vorhanden ist. Entscheidend ist vielmehr, ob technische, organisatorische und rechtliche Abläufe so miteinander verbunden sind, dass ein meldepflichtiger Vorfall innerhalb kürzester Zeit erkannt, bewertet, dokumentiert und gemeldet werden kann.

SBS Legal berät Unternehmen bei der Umsetzung neuer regulatorischer Anforderungen und unterstützt bei der rechtlichen Bewertung von Cybersecurity- und Compliance-Fragen. Gerade mit Blick auf den Cyber Resilience Act kann eine frühzeitige Prüfung der eigenen Produkte, Vulnerability-Management-Prozesse und internen Meldewege dazu beitragen, Risiken zu erkennen und notwendige Anpassungen rechtzeitig vor dem 11. September 2026 sowie vor dem vollständigen Anwendungsbeginn im Dezember 2027 umzusetzen.

Kontakt: Finn Niklas Nitz, Rechtsanwalt & Spezialist für Krypto- & KI-Recht, Zertifizierter Geldwäschebeauftragter (TÜV); André Schenk, LL-M.Eur. Fachanwalt für Gewerblichen Rechtsschutz und Experte für das Wettbewerbsrecht