Cyber Resilience Act (CRA): Erste Meldepflichten ab 11. September 2026

Schwachstellen und Vorfälle: CRA mit klaren Vorgaben

Gemäß CRA müssen Hersteller eine Schwachstelle in einem eigenen Produkt melden, wenn sie aktiv ausgenutzt wird und der Hersteller davon erfährt. Dann gelten folgende Fristen: Innerhalb von 24 Stunden muss eine Frühwarnung erfolgen, innerhalb von 72 Stunden eine ergänzende Meldung. Außerdem ist ein Abschlussbericht spätestens 14 Tage nach einer Abhilfe- oder Risikominderungsmaßnahme vorgeschrieben.

Meldepflichtig sind außerdem schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken. Auch hier gelten eine Frühwarnung innerhalb von 24 Stunden und eine Vorfallmeldung innerhalb von 72 Stunden; der Abschlussbericht ist spätestens einen Monat nach der Vorfallmeldung einzureichen.

Nicht jede Schwachstelle ist meldepflichtig

Wichtig ist: Nicht jede Schwachstelle löst eine CRA-Meldung aus. „Ein Eintrag in der Schwachstellendatenbank Common Vulnerabilities and Exposures – CVE – oder das Ergebnis eines Penetrationstests allein begründen noch keine Meldepflicht. Entscheidend ist bei einer Schwachstelle, ob eine aktive Ausnutzung bekannt ist“, erklärt Regulierungsexperte Eigler.

Aktuell gehen viele Unternehmen bei der CRA-Umsetzung noch von falschen Annahmen aus. „Einige nehmen immer noch an, dass die Meldepflicht erst ab Dezember 2027 gilt und nicht schon ab dem 11. September 2026. Auch die Annahme, nur Hersteller wichtiger oder kritischer Produkte seien betroffen, ist falsch“, so Eigler. Denn die Meldepflicht gilt grundsätzlich für Hersteller aller Produkte mit digitalen Elementen, die in den Anwendungsbereich des CRA fallen. Sie erfasst zudem auch entsprechende Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden.

CRA-Meldepflichten für Produkte mit digitalen Elementen

Der Cyber Resilience Act der Europäischen Union (EU) ist am 10. Dezember 2024 in Kraft getreten. Ziel der Verordnung ist es, die Cybersicherheit von Produkten mit digitalen Elementen über ihren gesamten Lebenszyklus hinweg zu erhöhen. Der CRA erfasst grundsätzlich Hardware- und Softwareprodukte, die unmittelbar oder mittelbar mit einem Gerät oder Netz verbunden sind.

Auch Hersteller mit Sitz außerhalb der EU betroffen

Dazu können beispielsweise Software, vernetzte Geräte, Maschinen mit vernetzter Steuerung, Industrie-4.0-Komponenten, Netzwerkkomponenten und Embedded Systems gehören. Entscheidend ist stets die Prüfung des konkreten Produkts und möglicher gesetzlicher Ausnahmen. Auch Hersteller mit Sitz außerhalb der EU müssen die Anforderungen beachten, wenn sie erfasste Produkte auf dem EU-Markt bereitstellen.

TÜV Rheinland unterstützt bei der CRA-Readiness

Die CRA-Expertinnen und -Experten von TÜV Rheinland unterstützen Unternehmen dabei, den Handlungsbedarf zu bewerten, die Anforderungen des CRA einzuordnen, bestehende Prozesse zu überprüfen sowie Melde- und Incident-Response-Prozesse aufzubauen. Unternehmen sollten frühzeitig sicherstellen, dass Schwachstellen und Sicherheitsvorfälle erkannt, bewertet und bei Bedarf fristgerecht gemeldet werden können.

Hierzu gehören klar definierte Verantwortlichkeiten, dokumentierte Entscheidungs- und Meldewege sowie kurzfristig verfügbare technische Informationen. Ebenfalls vorzubereiten ist die unverzügliche Information betroffener Nutzerinnen und Nutzer über Vorfälle und erforderliche Korrektur- oder Risikominderungsmaßnahmen. Weitere Informationen unter www.tuv.com/c-r-a.