Ab dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen müssen ab diesem Datum aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an ENISA sowie die zuständigen CSIRTs (Computer Security Incident Response Team) melden. Wer die erforderlichen internen Prozesse noch nicht eingerichtet hat, riskiert nicht nur Fristversäumnisse, sondern auch aufsichtsbehördliche Konsequenzen.
Hintergrund
Der CRA verpflichtet Hersteller, Importeure und Händler von Hardware- und Softwareprodukten mit digitalen Elementen zu umfassenden Cybersicherheitsanforderungen. Die Meldepflichten gehören zu den Regelungen, die bereits deutlich vor dem vollständigen Geltungsbeginn der Verordnung im Dezember 2027 wirksam werden. Sie gelten zudem für alle sich auf dem Markt befindenden Produkte mit digitalen Elementen, unabhängig davon, wann sie in Verkehr gebracht wurden.
Mehrstufiges Meldeverfahren
Das CRA-Meldeverfahren folgt einem dreistufigen Ablauf, der enge Fristen und aufeinander abgestimmte Prozesse voraussetzt.
- Frühwarnung: Innerhalb von 24 Stunden nach Erlangung der Kenntnis über eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall ist eine erste Meldung an ENISA und das zuständige CSIRT zu erstatten.
- Detailmeldung: Spätestens 72 Stunden nach dem ersten Bekanntwerden folgt eine vertiefte Meldung mit weiteren Angaben zum Vorfall, zur betroffenen Produktkomponente und zu ersten Gegenmaßnahmen.
- Abschlussbericht: Nach Abschluss der Behebungsmaßnahmen ist ein abschließender Bericht einzureichen, der die umgesetzten Maßnahmen dokumentiert.
Alle Fristen beginnen mit aktiver Kenntnis des Herstellers. Dies setzt voraus, dass interne Erkennungs- und Eskalationsmechanismen zuverlässig und ohne Zeitverlust funktionieren.
Konsequenz für die Praxis
Sofern noch keine Meldeprozesse implementiert wurden, besteht unmittelbarer Handlungsbedarf: Unternehmen sollten eine durchgängige Erkennung, Bewertung und Eskalation von Schwachstellen und Sicherheitsvorfällen für Produkte mit digitalen Elementen sicherstellen. Darauf aufbauend sind klare und belastbare Meldeprozesse zu etablieren, die insbesondere eindeutige Zuständigkeiten, definierte Eskalationswege und funktionsfähige Reportingkanäle umfassen. Ebenso sind verbindliche Behebungsprozesse – insbesondere im Hinblick auf Patch- und sonstige Mitigation-Maßnahmen – zu implementieren und eng mit den Meldeprozessen zu verzahnen.
Besonderes Augenmerk ist darüber hinaus auf die Einbindung der Lieferkette zu legen: Informationsflüsse, Verantwortlichkeiten und Eskalationsmechanismen mit Zulieferern und Komponentenherstellern sollten vertraglich klar geregelt sein.
Schließlich empfiehlt es sich, sämtliche Abläufe in verbindlichen Richtlinien zu dokumentieren und organisationweit zu verankern, um eine konsistente und fristgerechte Umsetzung sicherzustellen und keine aufsichtsbehördlichen Maßnahmen zu riskieren: Bei Nichteinhaltung der Meldefristen drohen Bußgelder von bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes des vorausgegangenen Geschäftsjahres.
Unsere Unterstützung
Wir unterstützen Sie gerne bei der Konzeption und Implementierung praxistauglicher Meldeprozesse, die den regulatorischen Anforderungen entsprechen. Hierzu stellen wir erprobte Muster, Vorlagen und Leitlinien für Richtlinien und Abläufe bereit und begleiten die strukturierte Ausgestaltung in Ihrem Unternehmen. Weiterführende Details zu Fristen, Inhalten und Umsetzung finden Sie zudem in unserem folgenden Factsheet.
