Cyber Resilience Act: Meldepflichten ab September 2026 – was Hersteller jetzt tun müssen

Am 11. September 2026 ist es soweit: Die Meldepflichten des Cyber Resilience Act (CRA) greifen. Hersteller von vernetzten Produkten müssen dann aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden melden. Wer bis dahin keine Prozesse etabliert hat, riskiert Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Der CRA ist die erste europäische Verordnung, die ein Mindestmaß an Cybersicherheit für alle vernetzten Produkte festlegt – von der Smartwatch bis zur Industriesoftware. Dieser Artikel ordnet ein, wer betroffen ist, was jetzt zu tun ist und wie sich die Umsetzung in der Praxis bewältigen lässt.

Was der CRA regelt – und warum er anders ist

Die Verordnung (EU) 2024/2847 (Cyber Resilience Act) trat am 10. Dezember 2024 in Kraft und wird schrittweise bis Ende 2027 anwendbar. Im Gegensatz zur NIS2-Richtlinie ist der CRA eine EU-Verordnung – er gilt unmittelbar in allen Mitgliedstaaten, ohne nationale Umsetzungsgesetze. Das bedeutet: Einheitliche Regeln für alle Hersteller in der EU, unabhängig davon, ob sie ihren Sitz in Deutschland, Frankreich oder Japan haben.

Der CRA schließt eine Regelungslücke. Bisher gab es keine europaweiten Cybersicherheitsanforderungen für Produkte – nur für Dienste (NIS2) oder bestimmte Sektoren (etwa Medizinprodukte). Der CRA ändert das: Alle Produkte mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden, müssen ein Mindestmaß an Cybersicherheit erfüllen. Das betrifft neben Consumer-Produkten auch B2B-Software und komplexe Industriesysteme.

Neu ist auch der Ansatz: Der CRA verlangt nicht nur Sicherheit beim Inverkehrbringen, sondern während des gesamten Lebenszyklus. Hersteller müssen Sicherheitsupdates bereitstellen, Schwachstellen aktiv behandeln und über den gesamten Supportzeitraum – in der Regel fünf Jahre – gewährleisten, dass ihr Produkt sicher bleibt.

Wer ist betroffen? Produkte, Hersteller, Importeure

Der CRA erfasst alle Produkte, die digitale Elemente enthalten und auf dem EU-Markt in Verkehr gebracht werden. Dazu gehören:

• Vernetzte Hardware: Smartphones, Laptops, Smartwatch, Smart-Home-Produkte, vernetztes Spielzeug, Mikroprozessoren, Firewalls, Smart-Meter-Gateways.
• Reine Softwareprodukte: Buchhaltungssoftware, Computerspiele, mobile Apps, Betriebssysteme, Office-Anwendungen.
• Komponenten: Betriebssysteme, Hypervisor, Container-Software, die in andere Produkte integriert werden.

Betroffen sind nicht nur Hersteller, sondern auch Importeure und Händler. Importeure müssen sicherstellen, dass der Hersteller die CRA-Anforderungen erfüllt hat; Händler müssen prüfen, ob das Produkt die CE-Kennzeichnung trägt und die erforderlichen Dokumente begleitet.

Ausgenommen sind: nicht-kommerzielle Open-Source-Software (ohne Gewinnerzielungsabsicht), Produkte unter anderen EU-Regimen (etwa Medizinprodukte, Fahrzeuge, zivile Luftfahrt) sowie Ersatzteile für Bestandsprodukte.

Die Fristen: September 2026, Dezember 2027 – was wann gilt

Der CRA wird in drei Stufen anwendbar:

• 11. Juni 2026: Die notifizierende Behörde hat die Verfahren für die Bewertung, Benennung und Notifizierung von Konformitätsbewertungsstellen etabliert.
• 11. September 2026: Die Meldepflichten für Schwachstellen und Vorfälle greifen. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden.
• 11. Dezember 2027: Alle CRA-Anforderungen gelten. Produkte müssen vor dem Inverkehrbringen die grundlegenden Cybersicherheitsanforderungen erfüllen, der Supportzeitraum muss eingehalten werden, die technische Dokumentation muss vollständig sein.

Die Meldepflichten gelten also bereits ab September 2026 – wer bis dahin keine Prozesse etabliert hat, riskiert Bußgelder, sobald ein Vorfall eintritt. Die vollen Produktanforderungen gelten ab Dezember 2027 – wer dann ein neues Produkt auf den Markt bringt, muss alle Anforderungen erfüllen.

Meldepflichten: 24 Stunden, 72 Stunden, 14 Tage

Die Meldepflichten nach Art. 11 CRA sind gestaffelt und zeitkritisch. Sie gelten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit des Produkts:

• Frühwarnung (24 Stunden): Innerhalb von 24 Stunden nach Kenntnisnahme ist eine Frühwarnung an die zentrale Meldeplattform der ENISA zu übermitteln. Diese enthält erste Angaben zum Vorfall: Art der Schwachstelle oder des Incidents, betroffenes Produkt, geschätzte Auswirkung.
• Incident-Meldung (72 Stunden): Innerhalb von 72 Stunden sind weitere Informationen nachzureichen, soweit verfügbar: detaillierte Beschreibung, betroffene Systeme, ergriffene Maßnahmen, Hinweise auf die Ursache.
• Abschlussbericht (14 Tage / ein Monat): Bei Schwachstellen ist spätestens 14 Tage nach einem Sicherheitsupdate oder Workaround ein Abschlussbericht einzureichen. Bei Sicherheitsvorfällen gilt eine Frist von einem Monat nach der Frühwarnung.

Die Meldungen erfolgen über die Single Reporting Platform (SRP) der ENISA. Die Plattform befindet sich derzeit im Aufbau; das BSI stellt Leitfäden und Flyer zur Vorbereitung bereit.

Produktklassen: Standard, wichtig, kritisch

Der CRA unterscheidet drei Produktklassen, die unterschiedliche Konformitätsbewertungsverfahren erfordern:

• Standardprodukte (Klasse 0): Die überwiegende Mehrheit der Produkte. Der Hersteller führt eine Selbstbewertung durch (Modul A) und stellt die Konformitätserklärung selbst aus.
• Wichtige Produkte (Anhang III): Produkte, die unter dem Gesichtspunkt der Cybersicherheit als sensibler gelten – etwa Passwortmanager, Firewalls, Intrusion-Detection-Systeme, Smartcards. Klasse-1-Produkte können unter bestimmten Bedingungen selbst bewertet werden; Klasse-2-Produkte erfordern eine Bewertung durch eine notifizierte Stelle (Modul B + C oder Modul H).
• Kritische Produkte (Anhang IV): Produkte mit besonders hohem Risiko – etwa Smart-Meter-Gateways, bestimmte Industriesteuerungen. Für diese Produkte ist eine Zertifizierung nach einem europäischen Zertifizierungsschema zwingend vorgeschrieben.

Die Durchführungsverordnung (EU) 2025/2392 präzisiert die technische Beschreibung der Produktklassen. Hersteller sollten prüfen, in welche Klasse ihre Produkte fallen – das bestimmt das Konformitätsbewertungsverfahren und den Aufwand.

Software Bill of Materials: die Zutatenliste für Software

Der CRA verlangt von Herstellern die Erstellung einer Software Bill of Materials (SBOM) – einer Stückliste, die alle verwendeten Softwarekomponenten, Bibliotheken und Abhängigkeiten auflistet. Die SBOM ist das Äquivalent zum Zutatenverzeichnis für Lebensmittel: Sie macht transparent, was im Produkt steckt.

Die SBOM muss nicht veröffentlicht werden, aber sie muss im Schwachstellenhandling eingesetzt werden. Wenn eine Schwachstelle in einer verwendeten Bibliothek bekannt wird, ermöglicht die SBOM eine schnelle Identifikation betroffener Produkte. Das BSI hat mit der Technischen Richtlinie TR-03183 (Teil 2) formelle und fachliche Vorgaben für SBOMs veröffentlicht.

In der Praxis bedeutet das: Hersteller sollten jetzt beginnen, SBOMs für ihre Produkte zu erstellen – idealerweise automatisiert während des Build-Prozesses. Tools wie SPDX oder CycloneDX haben sich als Formate etabliert. Wer keine SBOM hat, kann die Meldepflichten nicht effizient erfüllen – und riskiert, bei einer Schwachstelle tagelang nach betroffenen Produkten suchen zu müssen, statt in Stunden zu reagieren.

Konformitätsbewertung: Selbstbewertung oder Drittstelle

Das Konformitätsbewertungsverfahren hängt von der Produktklasse ab. Der CRA greift auf Module des New Legislative Framework (NLF) zurück:

• Modul A (Selbstbewertung): Der Hersteller bewertet die Konformität seines Produkts ohne Beteiligung einer notifizierten Stelle. Gilt für die meisten Standardprodukte.
• Modul B + C (Baumusterprüfung + interne Fertigungskontrolle): Eine notifizierte Stelle bewertet ein Muster des Produkts (Modul B); der Hersteller stellt anschließend sicher, dass alle weiteren Produkte dem Muster entsprechen (Modul C). Gilt für wichtige Produkte der Klasse 1 ohne harmonisierte Norm sowie für Klasse-2-Produkte.
• Modul H (Umfassende Qualitätssicherung): Eine notifizierte Stelle bewertet das Qualitätssicherungssystem des Herstellers. Wenn es konform ist, kann der Hersteller alle weiteren Produkte nach diesem Prozess herstellen. Alternative zu Modul B + C für wichtige Produkte.

Die CE-Kennzeichnung wird um die CRA-Anforderungen erweitert. Wer das CE-Kennzeichen anbringt, erklärt damit auch die Konformität mit dem CRA. Das bedeutet: Die Cybersicherheit wird Teil der Produktkonformität – nicht mehr nur ein optionales Feature, sondern eine Voraussetzung für den Marktzugang.

In sechs Schritten zur CRA-Compliance

Für Hersteller, die von CRA betroffen sind, empfehlen sich folgende Schritte:

• 1. Produktportfolio analysieren: Welche Produkte enthalten digitale Elemente? Fällt jedes Produkt unter den CRA? Dokumentieren Sie alle Produkte, ihre Funktionsweise und ihre Konnektivität.
• 2. Produktklasse bestimmen: Ordnen Sie jedes Produkt einer der drei Klassen zu (Standard, wichtig, kritisch). Prüfen Sie Anhang III und IV der Verordnung. Das bestimmt das Konformitätsbewertungsverfahren.
• 3. Risikobewertung durchführen: Identifizieren Sie Cybersicherheitsrisiken Ihrer Produkte. Berücksichtigen Sie Bedrohungen wie unbefugter Zugriff, Datenlecks, Manipulation, Denial-of-Service. Dokumentieren Sie die Bewertung.
• 4. SBOM erstellen: Erstellen Sie für jedes Produkt eine Software Bill of Materials. Nutzen Sie automatisierte Tools während des Build-Prozesses. Die SBOM ist die Grundlage für effizientes Schwachstellenhandling.
• 5. Meldeprozesse etablieren: Definieren Sie Prozesse für die 24-Stunden-Frühwarnung, die 72-Stunden-Meldung und den Abschlussbericht. Schulen Sie das Personal und etablieren Sie eine 24/7-Erreichbarkeit. Registrieren Sie sich auf der ENISA SRP.
• 6. Supportzeitraum festlegen: Legen Sie fest, für welchen Zeitraum Sie Sicherheitsupdates bereitstellen. Kommunizieren Sie diesen Zeitraum klar an Kunden. In der Regel sind es fünf Jahre ab Inverkehrbringen.

Bußgelder: bis zu 15 Millionen Euro oder 2,5 % des Weltumsatzes

Die Sanktionen bei CRA-Verstößen sind erheblich. Art. 31 CRA sieht gestaffelte Bußgelder vor, die sich nach der Schwere des Verstoßes richten:

• Verstoß gegen Meldepflichten: Wer aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle nicht meldet, riskiert Bußgelder bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes.
• Verstoß gegen Produktanforderungen: Wer Produkte ohne die erforderliche Cybersicherheit in Verkehr bringt, riskiert ebenfalls Bußgelder bis zu 15 Millionen Euro oder 2,5 % des Weltumsatzes.
• Verstoß gegen Konformitätsbewertung: Wer Produkte ohne das erforderliche Konformitätsbewertungsverfahren in Verkehr bringt, riskiert Bußgelder bis zu 7,5 Millionen Euro oder 1,25 % des Weltumsatzes.

Für kleine und mittlere Unternehmen sowie Kleinstunternehmen sieht der CRA ermäßigte Bußgelder vor, allerdings nur bei erstmaligen Verstößen und wenn diese nicht vorsätzlich oder grob fahrlässig begangen wurden. Die Kommission hat zudem angekündigt, Leitlinien für KMU zu veröffentlichen und Helpdesks für die Meldepflichten einzurichten.

Einordnung: CRA im europäischen Compliance-System

Der CRA steht nicht isoliert. Wer dem NIS2-Umsetzungsgesetz unterfällt, muss ohnehin IT-Sicherheitsrisiken managen – die Produktsicherheit nach CRA ist ein natürlicher Bestandteil dieses Risikomanagements. Und auch bei der KI-Verordnung zeigt sich dasselbe Muster: Der Gesetzgeber verlangt getaktete Meldeprozesse mit klaren Fristen und nachweisbarer Verantwortung. Unternehmen, die ihre Compliance-Strukturen ohnehin zentral aufstellen, können CRA nahtlos integrieren.

Datenschutzrechtlich bleibt die DSGVO parallel anwendbar. Ein Sicherheitsvorfall, der personenbezogene Daten betrifft, ist sowohl nach CRA (über ENISA) als auch nach Art. 33 DSGVO (über die Datenschutzaufsichtsbehörde) zu melden. Die Meldepflichten laufen parallel – wer nur eine Behörde informiert, verstößt gegen die andere.

Das BSI unterstützt Hersteller mit einer CRA-Vorbereitung über das IT-Sicherheitskennzeichen. Die bestehenden Sicherheitsanforderungen werden sukzessive auf die CRA-Ziele ausgerichtet, sodass Hersteller schon jetzt beginnen können, sich vorzubereiten.

Fazit

Der Cyber Resilience Act ist kein Zukunftsprojekt mehr – er ist Dauerzustand. Die Meldepflichten greifen ab September 2026, die vollen Produktanforderungen ab Dezember 2027. Die Bußgelder sind scharf, und die ENISA hat mit dem Aufbau der Meldeplattform begonnen.

Die gute Nachricht: Die Anforderungen sind klar dokumentiert, das BSI bietet umfangreiche Unterstützung – von Technischen Richtlinien über Flyer bis hin zu Webinaren. Wer jetzt handelt – Produktportfolio analysieren, Produktklasse bestimmen, Risikobewertung durchführen, SBOM erstellen, Meldeprozesse etablieren – ist auf der sicheren Seite.

Der CRA ist kein Hindernis für Innovation – er ist ein Rahmen, der Cybersicherheit zur Voraussetzung für den Marktzugang macht. Hersteller, die diesen Rahmen ernst nehmen, werden nicht nur compliant sein, sondern auch wettbewerbsfähig in einem Markt, der zunehmend auf Cyberresilienz Wert legt.