Der EU Cyber Resilience Act erklärt: Was sich ändert und für wen

Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen auf dem EU-Markt eine Frühwarnung zu einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall innerhalb von 24 Stunden nach Kenntniserlangung übermitteln. Die meisten Herstellerpflichten der CRA gelten erst ab Dezember 2027. Dieser Beitrag erklärt, was die Meldepflicht ab September konkret bedeutet, wer davon betroffen ist und was Unternehmen beim Einkauf vernetzter Geräte festhalten sollten.

Wichtig ist, dass die Meldepflicht nicht auf neue Produkte beschränkt ist. Sie kann auch durch eine Schwachstelle oder einen Vorfall ausgelöst werden, die ein Produkt betrifft, das bereits vor Jahren auf den EU-Markt gebracht wurde. Die Meldefrist beginnt, sobald der Hersteller Kenntnis davon erlangt, dass eine Schwachstelle in einem seiner Produkte aktiv ausgenutzt wird, oder von einem schwerwiegenden Sicherheitsvorfall erfährt. Ein schwerwiegender Sicherheitsvorfall ist ein Vorfall, der die Fähigkeit des Produkts, sensible oder wichtige Daten oder Funktionen zu schützen, negativ beeinflusst oder beeinflussen kann. Dazu zählt auch ein Vorfall, der dazu geführt hat oder führen kann, dass Schadcode in das Produkt oder in das Netzwerk eines Nutzers eingebracht oder dort ausgeführt wird.

Die Pflicht gilt auch für Hersteller außerhalb der EU, die Produkte auf dem EU-Markt in Verkehr bringen. Die wichtigsten Pflichten zur Produktsicherheit und zum Schwachstellenmanagement gelten erst ab dem 11. Dezember 2027. Für Hersteller bringt der September also sowohl die Meldepflicht als auch die damit verbundene Pflicht mit sich, betroffene Nutzer zu informieren.

Für die Meldepflicht schon. Grundsätzlich erfasst die Verordnung Hardware und Software, deren beabsichtigte oder vernünftigerweise vorhersehbare Nutzung eine Verbindung zu einem Gerät oder Netzwerk umfasst. Bestimmte Produkte, die unter spezifische sektorale EU-Rechtsvorschriften fallen, sind ausgenommen, darunter bestimmte Medizinprodukte, Kraftfahrzeugprodukte, zertifizierte Luftfahrtausrüstung und Meeresausrüstung.

Produkte, die vor dem 11. Dezember 2027 auf den EU-Markt gebracht wurden, fallen größtenteils nicht unter das Gesetz. Sie werden nur dann erfasst, wenn sie später so verändert werden, dass dies Auswirkungen auf ihre Sicherheit oder ihren Verwendungszweck hat. Die Meldepflicht bildet hierbei die Ausnahme: Sie gilt für jedes von der Verordnung erfasste Produkt, unabhängig davon, wann es in Verkehr gebracht wurde. Ein Heizungsregler, der 2019 erstmals auf den EU-Markt gebracht wurde, muss nicht allein deshalb eine neue Konformitätsbewertung oder CE-Kennzeichnung durchlaufen, weil die Meldepflicht in Kraft getreten ist. Ab dem 11. September muss der Hersteller jedoch eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall im Zusammenhang mit diesem Produkt melden.

Die Meldung erfolgt durch den Hersteller. Nach der Verordnung ist dies die Person oder Organisation, die das Produkt entwickelt oder herstellt, entwickeln oder herstellen lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt. Dies gilt unabhängig davon, ob das Produkt gegen Bezahlung, gegen Monetarisierung oder kostenlos bereitgestellt wird. Die Installation, der Betrieb oder die Wartung des Produkts machen eine Organisation für sich genommen noch nicht zum Hersteller.

Die Pflicht hängt davon ab, wo das Produkt in Verkehr gebracht wird, nicht davon, wo der Hersteller ansässig ist. Auch Hersteller außerhalb der EU, die Produkte auf dem EU-Markt in Verkehr bringen, bleiben hierfür verantwortlich.

Innerhalb von 24 Stunden, nachdem der Hersteller von der Schwachstelle oder dem Vorfall Kenntnis erlangt, reicht er eine Frühwarnung ein, die die EU-Länder benennt, in denen das Produkt seines Wissens nach verfügbar gemacht wurde, sowie – bei einem Vorfall – ob rechtswidrige oder böswillige Handlungen vermutet werden. Innerhalb von 72 Stunden folgt eine ausführlichere Meldung: welches Produkt betroffen ist, worin das Problem besteht, was der Hersteller unternommen hat und was Nutzer tun können. Bei einer Schwachstelle folgt spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist, ein Abschlussbericht. Bei einem Vorfall erfolgt dieser innerhalb eines Monats nach der 72-Stunden-Meldung. Das empfangende Computer-Notfallteam kann vor dem Abschlussbericht auch einen Zwischenbericht anfordern. Der Hersteller muss zudem die betroffenen Nutzer informieren.

Meldungen werden über eine zentrale Online-Plattform eingereicht, die von ENISA, der Cybersicherheitsagentur der EU, eingerichtet wird. Die Europäische Kommission gibt an, dass die Plattform ab dem 11. September 2026 einsatzbereit sein wird. Die Meldungen gehen an das nationale Computer-Notfallteam in dem EU-Land, in dem der Hersteller überwiegend seine Entscheidungen zur Produktsicherheit trifft. Verfügt der Hersteller über keine Niederlassung in der EU, legt Artikel 14 eine gesonderte Rangfolge fest, welches Land die Meldung erhält.

Ab dem 11. Dezember 2027 muss ein Hersteller für jedes neue Produkt den Unterstützungszeitraum angeben. Dieser Unterstützungszeitraum muss mindestens fünf Jahre betragen, es sei denn, das Produkt wird voraussichtlich kürzer genutzt. Das Enddatum muss zum Zeitpunkt des Kaufs angegeben werden. Während des Unterstützungszeitraums muss ein Sicherheitsupdate, sobald es verfügbar ist, unverzüglich und grundsätzlich kostenlos bereitgestellt werden.

Bei aus der Ferne verwalteten Geräten kann die Verteilung dieses Updates davon abhängen, dass das Produkt weiterhin erreichbar bleibt. Fünf Jahre sind lang genug, damit sich die mobilen Netze, die für die Verbindung genutzt werden, verändern können. Veröffentlichte Abschalttermine für 2G-Netze in Europa zeigen, dass die während des Unterstützungszeitraums eines Produkts verfügbaren Netze von denen abweichen können, die bei der ursprünglichen Lieferung verfügbar waren. Fällt der Verwaltungsweg weg, während sich das Produkt noch innerhalb des Unterstützungszeitraums befindet, muss der Hersteller einen anderen Weg finden, um das Update bereitzustellen.

Eine Organisation erwirbt nicht automatisch eine Meldepflicht nach Artikel 14, nur weil sie vernetzte Geräte beschafft oder betreibt. Sie bleibt jedoch von Herstellern abhängig, die dieser Pflicht nachkommen können, sowie von Produkten, die erreichbar bleiben, wenn ein Sicherheitsupdate erforderlich ist. Vier Antworten gehören daher in die Dokumentation, bevor ein Vertrag unterzeichnet wird. Zusammen legen sie den Unterstützungszeitraum, die Netzabhängigkeiten, den Updateweg und die Meldeverantwortung fest.

1. Wie lange ist der Unterstützungszeitraum für dieses Produkt, und was geschieht, wenn er endet? Die Antwort sollte das Enddatum nennen, mindestens Monat und Jahr, und klar angeben, was danach weiterläuft und was endet.
2. Welche mobilen Netze kann das Produkt nutzen, und welche Abhängigkeiten von einem Kernnetz bestehen über diese Wege hinweg fort? Der Zugang zu mehreren Funknetzen kann weiterhin von einem einzigen Betreiberkern abhängen.
3. Wie erreicht ein Sicherheitsupdate eine Einheit im Feld, und ist dafür jemals ein Techniker-Einsatz vor Ort nötig? Ist die Antwort ein Einsatz vor Ort, gehören dessen Kosten, multipliziert mit der Anzahl der Einheiten, in den Vergleich.
4. Wer meldet nach der Verordnung für dieses Produkt, und wer ist die Kontaktperson, wenn ein Sicherheitsproblem festgestellt wird? Die Antwort sollte ein Unternehmen sowie eine Person oder ein Team benennen.

CSL entwickelt und betreibt Multi-Network- und unabhängige Core-Konnektivität für kritische vernetzte Geräte in ganz Europa. Sprechen Sie mit unserem Team über die Konnektivitätsanforderungen eines bestimmten Produkts oder Portfolios.

• Verordnung (EU) 2024/2847 (Cyber Resilience Act), Artikel 2, 3, 13, 14, 69 und 71, Amtsblatt der Europäischen Union.
• Europäische Kommission (2026), „Cyber Resilience Act: reporting obligations“, Seite zuletzt aktualisiert am 31. Juli 2026.