EU-Regulierung · Produktsicherheit · CRA

Cyber Resilience Act: Erste verbindliche Meldepflichten stehen unmittelbar bevor

Der EU Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen zu verbindlichen Sicherheitsmaßnahmen über den Produktlebenszyklus. Die meisten Anforderungen gelten vollständig ab Dezember 2027. Ein wichtiger Teil beginnt jedoch bereits am 11. September 2026.

Was muss ab September gemeldet werden?

Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden, wenn diese die Sicherheit eines digitalen Produkts betreffen. Die Meldung erfolgt über die europäische Single Reporting Platform.

Frühwarnung grundsätzlich innerhalb von 24 Stunden nach Kenntnis
Vollständigere Meldung grundsätzlich innerhalb von 72 Stunden
Abschlussbericht innerhalb der jeweils vorgesehenen Folgefrist

Wer sollte sich jetzt vorbereiten?

Betroffen sein können Hersteller und Anbieter von Hardware, Software, vernetzten Geräten und anderen digitalen Produkten. Auch Systemhäuser, Integratoren und Zulieferer sollten prüfen, welche Informationen sie ihren Herstellern im Sicherheitsfall schnell bereitstellen müssen.

Erforderlich sind klare Prozesse für Schwachstellenannahme, Bewertung, Eskalation, Kundeninformation und Dokumentation. Zuständigkeiten und erreichbare Ansprechpartner sollten vor dem Stichtag feststehen. Diese Übersicht ersetzt keine rechtliche Einzelfallberatung.

Sicherheitsprozesse vorbereiten

Quelle und weiterführende Informationen: Offizielle Hersteller- bzw. Behördeninformation