Cyber Resilience Act: Neue Meldepflichten starten im September
Europas neue Cyberregeln machen Schwachstellenmeldungen zur Pflicht und betreffen auch digitale Produkte im Mittelstand.
Die Details
- ›Meldepflichten gelten ab 11. September 2026
- ›Hauptpflichten greifen ab 11. Dezember 2027
Für Hersteller digitaler Produkte beginnt eine neue Phase der europäischen Cybersicherheitsregeln. Der Cyber Resilience Act, kurz CRA, sieht ab dem 11. September 2026 Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle vor. Die umfassenden Anforderungen gelten später. Unternehmen müssen ihre Sicherheitsprozesse aber schon jetzt vorbereiten.
Was der Cyber Resilience Act regelt
Der CRA betrifft Produkte mit digitalen Elementen. Dazu gehören nicht nur klassische Computerprogramme. Auch vernetzte Geräte, Industriekomponenten, Medizinelektronik, Router und viele eingebettete Systeme können unter die Regeln fallen. Hersteller müssen Sicherheit über den gesamten Lebenszyklus berücksichtigen – von der Entwicklung über Updates bis zum Ende des Supports.
Das verändert die Verantwortung. Sicherheitslücken dürfen nicht erst dann untersucht werden, wenn Kunden sie melden oder ein Angriff öffentlich wird. Hersteller brauchen Verfahren, mit denen sie Schwachstellen erkennen, bewerten und beheben. Dazu gehört auch eine nachvollziehbare Dokumentation der verwendeten Software-Bausteine.
Warum die Meldefrist wichtig ist
Ab September müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle melden. Die EU will dadurch schneller ein Bild von Gefahren bekommen und andere Betroffene warnen. Eine Meldung ist nicht automatisch ein Schuldeingeständnis. Sie ist Teil eines Systems, das Risiken früher sichtbar machen soll.
Für Unternehmen bedeutet das zusätzliche Arbeit. Zuständigkeiten müssen geklärt, Bereitschaftsdienste organisiert und technische Informationen gesammelt werden. Besonders kleinere Betriebe stehen vor der Frage, wie sie diese Aufgaben mit begrenztem Personal bewältigen. Wer Produkte zuliefert, muss außerdem klären, welche Informationen an Kunden und Geschäftspartner weitergegeben werden.
Was sich für Nutzer ändert
Der CRA soll langfristig dafür sorgen, dass digitale Produkte sicherer ausgeliefert und länger gepflegt werden. Nutzer sollen besser erkennen können, wie Sicherheitsupdates bereitgestellt werden. Das erhöht den Schutz nicht über Nacht. Es schafft aber klare Erwartungen an Hersteller, statt Sicherheit allein dem einzelnen Kunden zu überlassen.
Warum das Thema regional relevant ist
Auch Unternehmen im Rhein-Erft-Kreis arbeiten mit vernetzten Maschinen, Software und digitalen Lieferketten. Die Regeln betreffen deshalb nicht nur große Technologiekonzerne. Wer digitale Produkte entwickelt, importiert oder in eigene Anlagen einbaut, sollte den Anwendungsbereich prüfen und Meldewege festlegen.