Cyber Resilience Act: Meldepflicht ab dem 11. September 2026

Der Cyber Resilience Act – Verordnung (EU) 2024/2847 – ist seit dem 10. Dezember 2024 in Kraft, seine Pflichten greifen jedoch gestaffelt. Der nächste und für die Praxis wichtigste Stichtag steht unmittelbar bevor: Ab dem 11. September 2026 gelten die Meldepflichten nach Artikel 14. Hersteller müssen dann aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden erstmelden – ein Prozess, den man nicht im Ernstfall improvisiert, sondern vorher aufbaut.

Das Thema ist dabei weniger dramatisch als oft dargestellt, aber logistisch anspruchsvoll. Und es betrifft deutlich mehr Unternehmen, als sich derzeit angesprochen fühlen: Wer Hardware oder Software mit direkter oder indirekter Datenverbindung unter eigenem Namen in der EU in Verkehr bringt, ist im Sinne der Verordnung „Hersteller“ – auch der Maschinenbauer mit eigener Steuerungssoftware und das mittelständische Softwarehaus.

Wen der CRA als Hersteller adressiert

Der Anwendungsbereich umfasst „Produkte mit digitalen Elementen“: Hardware und Software einschließlich zugehöriger Datenfernverarbeitung, die auf dem EU-Markt in Verkehr gebracht werden. Der Begriff ist bewusst breit gefasst. Viele Mittelständler – Maschinen- und Anlagenbauer, Hersteller vernetzter Komponenten, Softwarehäuser mit eigenem Produkt – ordnen sich bislang nicht als Adressaten ein, obwohl sie es sind.

Wer in den Anwendungsbereich fällt, trägt als Hersteller ein Pflichtenpaket:

Cybersicherheits-Risikobewertung für das Produkt,
Erfüllung der grundlegenden Anforderungen nach Anhang I,
technische Dokumentation,
ein festgelegter Unterstützungszeitraum mit Sicherheitsupdates,
CE-Kennzeichnung und EU-Konformitätserklärung.

Für die Behandlung von Schwachstellen gilt dabei ein Unterstützungszeitraum von mindestens fünf Jahren – kürzer nur dann, wenn die erwartete Nutzungsdauer selbst kürzer ist.

Drei Stichtage – und warum der mittlere der wichtigste ist

Artikel 71 staffelt die Anwendung der Verordnung in drei Etappen:

11. Juni 2026: Die Regelungen zu den notifizierten Stellen (Konformitätsbewertungsstellen) gelten – dieser Stichtag ist bereits erreicht.
11. September 2026: Die Meldepflichten nach Artikel 14 werden verbindlich.
11. Dezember 2027: Die Verordnung gilt vollständig, inklusive aller Produktanforderungen.

Für Bestandsprodukte gibt es eine wichtige Weichenstellung: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den vollen Anforderungen nur dann, wenn sie danach wesentlich verändert werden. Die Meldepflichten nach Artikel 14 gelten dagegen nach Artikel 69 unabhängig davon, wann das Produkt in Verkehr gebracht wurde. Anders gesagt: Auch für das Produktportfolio, das heute schon im Feld ist, muss der Meldeprozess zum 11. September 2026 stehen. Genau deshalb ist dieser Termin der eigentliche Handlungstreiber – nicht das Jahr 2027.

Was ab dem 11. September 2026 konkret zu melden ist

Meldepflichtig sind zwei Fallgruppen: aktiv ausgenutzte Schwachstellen in einem Produkt und schwerwiegende Vorfälle mit Auswirkungen auf dessen Sicherheit. Für beide gilt eine Fristenkaskade:

Frühwarnung binnen 24 Stunden nach Kenntnisnahme,
Meldung binnen 72 Stunden mit einer ersten Bewertung,
Abschlussbericht – bei Schwachstellen spätestens 14 Tage, nachdem eine Korrekturmaßnahme verfügbar ist, bei Vorfällen spätestens einen Monat nach der 72-Stunden-Meldung.

Adressaten der Meldungen sind das als Koordinator benannte CSIRT und die ENISA, technisch über eine zentrale Meldeplattform (Single Reporting Platform). Hier liegt eine Besonderheit der aktuellen Lage: Stand Mitte Juli 2026 war diese Plattform noch nicht in Betrieb – sie muss zum 11. September 2026 einsatzbereit sein. Auf die Plattformdetails zu warten ist trotzdem die falsche Strategie. Die 24-Stunden-Frist scheitert in der Praxis nicht am Meldeformular, sondern daran, dass die Information intern nicht rechtzeitig bei der richtigen Stelle ankommt.

Die übrigen Pflichten: Blick auf Dezember 2027

Wer die Meldepflicht organisiert hat, sollte den zweiten Block nicht aus dem Blick verlieren. Bis zum 11. Dezember 2027 müssen neu in Verkehr gebrachte Produkte die vollen Anforderungen erfüllen. Zwei Punkte verdienen dabei besondere Aufmerksamkeit:

Konformitätsbewertung: Als „wichtig“ (Anhang III) oder „kritisch“ (Anhang IV) eingestufte Produkte unterliegen strengeren Bewertungsverfahren – eine reine Selbstbewertung genügt bei „wichtigen“ Produkten der Klasse I nur dann, wenn einschlägige harmonisierte Normen vollständig angewendet werden; für höhere Klassen scheidet sie aus.
Normenlage: Harmonisierte Normen zum CRA sind bislang nicht im Amtsblatt der EU veröffentlicht; nach der im Juli 2026 von der Kommission vorgeschlagenen Fristverschiebung werden die ersten fertigen Normen zwischen Oktober und Dezember 2026 erwartet – die Listung im Amtsblatt folgt danach. Hersteller, die jetzt mit der Umsetzung beginnen, arbeiten also vorerst direkt gegen die Anforderungen des Anhangs I.

Die Sanktionsdrohung ist ernst zu nehmen: Verstöße können mit Geldbußen bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Eine Erleichterung gibt es für Kleinst- und Kleinunternehmen: Sie werden nicht mit einer Geldbuße belegt, wenn sie lediglich die 24-Stunden-Frist für die Frühwarnung verpassen. Ein Freibrief für den Gesamtprozess ist das ausdrücklich nicht.

Readiness-Check: fünf Schritte bis zum 11. September

Die gute Nachricht: Für die Meldepflicht braucht es kein Großprojekt, sondern einen sauberen Prozess. Fünf Schritte, in dieser Reihenfolge:

1. Produktinventar erstellen

Welche Produkte mit digitalen Elementen bringen Sie in der EU in Verkehr – inklusive Firmware, Apps und zugehöriger Datenfernverarbeitung? Ohne diese Liste bleibt jede weitere Planung Stückwerk.

2. Schwachstellen-Eingang organisieren

Wie erfahren Sie überhaupt von einer Schwachstelle in Ihrem Produkt? Es braucht einen definierten Eingangskanal – für externe Meldungen von Sicherheitsforschern und Kunden ebenso wie für eigene Erkenntnisse aus Entwicklung und Betrieb.

3. Internen 24-Stunden-Eskalationspfad festlegen

Vom ersten Hinweis bis zur Entscheidung „meldepflichtig oder nicht“ dürfen keine 24 Stunden vergehen. Das erfordert klare Zuständigkeiten, Vertretungsregeln und Erreichbarkeit auch außerhalb der Bürozeiten.

4. Meldeverantwortung benennen

Wer setzt die Meldung ab, wer gibt sie frei, wer pflegt die 72-Stunden-Aktualisierung und den Abschlussbericht nach? Eine benannte Rolle mit Stellvertretung genügt – aber sie muss vor dem Stichtag benannt sein.

5. Support-Zeitraum-Policy verabschieden

Legen Sie je Produkt den Unterstützungszeitraum fest und dokumentieren Sie die Begründung. Das ist zugleich die Grundlage für die Kommunikation gegenüber Kunden und für die spätere Konformitätsarbeit Richtung 2027.

Einordnung: Logistik statt Panik

Der CRA verlangt ab September nichts, was ein geordnet arbeitendes Unternehmen nicht leisten könnte. Er verlangt aber Verbindlichkeit: definierte Prozesse, benannte Verantwortliche, eingehaltene Fristen. Wer das Thema jetzt mit einem überschaubaren Vorbereitungsprojekt angeht, ist zum Stichtag handlungsfähig – und hat zugleich das Fundament für die vollen Produktanforderungen ab Dezember 2027 gelegt.

Wie sector7 unterstützt

Als inhabergeführtes Haus verbinden wir Compliance-Beratung (ISO 27001, NIS-2, DORA, TISAX) mit dem technischen Betrieb dahinter – und wenden dieselbe Systematik auf die CRA-Vorbereitung an. Den Schwachstellen-Eingang und den 24-Stunden-Eskalationspfad verdrahten wir direkt mit unserem 24/7-NOC-Monitoring, damit Hinweise nicht im Postfach liegen bleiben, sondern rund um die Uhr an die richtige Stelle eskaliert werden. Das Ganze zu planbaren monatlichen Festpreisen, damit die CRA-Vorbereitung budgetierbar bleibt.

Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.