Drei Monate bis zur ersten Frist des CRA, die wirklich greift
Der größte Teil des Cyber Resilience Act (CRA) scheint noch weit weg. Die Verordnung, Verordnung (EU) 2024/2847, gilt in vollem Umfang ab dem 11. Dezember 2027, und dieses Datum steht in den meisten Produktteams im Plan für die Anforderungen an Security by Design, die Konformitätsbewertung und die CE-Kennzeichnung.
Doch eine Pflicht kommt viel früher. Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die Behörden melden. Diese Pflicht ist nicht auf neue Produkte beschränkt: Sie erfasst auch vernetzte Produkte, die bereits auf dem Markt sind. Für ein Unternehmen, das Smart-Home-Geräte, vernetztes Spielzeug, Wearables oder andere Produkte mit Software oder Netzanbindung verkauft, bleiben nun drei Monate, um einen Prozess aufzusetzen, der innerhalb von 24 Stunden funktioniert.
Die drei Stichtage des CRA
Art. 71 Abs. 2 des CRA legt drei Anwendungszeitpunkte fest:
- 11. Juni 2026 – Kapitel IV (Art. 35 bis 51) über die Notifizierung von Konformitätsbewertungsstellen gilt. Es ist die Grundlage für die Stellen, die später die kritischeren Produktklassen bewerten werden.
- 11. September 2026 – Art. 14, die Meldepflichten der Hersteller, gilt.
- 11. Dezember 2027 – der Rest der Verordnung gilt, einschließlich der grundlegenden Cybersicherheitsanforderungen in Anhang I.
Der CRA definiert ein Produkt mit digitalen Elementen als „ein Software- oder Hardwareprodukt und die zugehörigen Datenfernverarbeitungslösungen“, einschließlich Komponenten, die separat in Verkehr gebracht werden. In der Praxis sind das die meisten Verbraucherprodukte, die mit einem Telefon, einem Netz oder der Cloud verbunden sind.
Was gemeldet werden muss
Art. 14 begründet zwei Meldepflichten.
Aktiv ausgenutzte Schwachstellen (Art. 14 Abs. 1). Ein Hersteller muss jede aktiv ausgenutzte Schwachstelle in seinem Produkt melden, von der er Kenntnis erlangt. Der CRA definiert eine aktiv ausgenutzte Schwachstelle als eine, „für die es verlässliche Beweise dafür gibt, dass ein böswilliger Akteur sie ohne Erlaubnis des Systemeigentümers in einem System ausgenutzt hat“. Eine Schwachstelle, die Sie bei eigenen Tests finden und die niemand ausgenutzt hat, fällt nicht unter diese verpflichtende Meldung, auch wenn Art. 15 eine freiwillige Meldung zulässt.
Schwerwiegende Sicherheitsvorfälle (Art. 14 Abs. 3). Ein Hersteller muss außerdem jeden schwerwiegenden Sicherheitsvorfall melden, der sich auf die Sicherheit des Produkts auswirkt. Nach Art. 14 Abs. 5 gilt ein Vorfall als schwerwiegend, wenn er die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, beeinträchtigt oder beeinträchtigen kann, oder wenn er dazu geführt hat oder führen kann, dass Schadcode in das Produkt oder in die Netz- und Informationssysteme eines Nutzers eingeschleust oder dort ausgeführt wird.
24 Stunden, 72 Stunden, 14 Tage und ein Monat
Beide Pflichten folgen einem gestuften Zeitplan, der in Art. 14 Abs. 2 und 4 festgelegt ist:
| Schritt | Aktiv ausgenutzte Schwachstelle | Schwerwiegender Sicherheitsvorfall |
|---|---|---|
| Frühwarnung | Binnen 24 Stunden nach Kenntniserlangung | Binnen 24 Stunden nach Kenntniserlangung |
| Meldung | Binnen 72 Stunden, mit allgemeinen Angaben zum Produkt, zum Exploit und zu Abhilfe- oder Risikominderungsmaßnahmen | Binnen 72 Stunden, mit einer ersten Bewertung und den ergriffenen Maßnahmen |
| Abschlussbericht | Spätestens 14 Tage nach Verfügbarkeit einer Abhilfe- oder Risikominderungsmaßnahme | Binnen eines Monats nach der Meldung des Vorfalls |
Die Frühwarnung muss gegebenenfalls angeben, in welchen Mitgliedstaaten das Produkt nach Kenntnis des Herstellers bereitgestellt wurde. Bei Vorfällen muss sie außerdem angeben, ob der Verdacht besteht, dass der Vorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde. Das CSIRT, das die Meldung erhält, kann einen Zwischenbericht zum Sachstand anfordern (Art. 14 Abs. 6).
Die Meldung an die Behörden ist nur die halbe Aufgabe. Nach Art. 14 Abs. 8 muss der Hersteller außerdem die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall und über die Maßnahmen informieren, mit denen sie die Auswirkungen verringern können.
Wohin die Meldungen gehen
Meldungen werden über die einheitliche Meldeplattform übermittelt, deren Einrichtung und Betrieb Art. 16 der ENISA, der EU-Agentur für Cybersicherheit, überträgt. Der Hersteller nutzt den elektronischen Meldeendpunkt des CSIRT, das als Koordinator in dem Mitgliedstaat benannt ist, in dem sich seine Hauptniederlassung in der Union befindet; die Meldung ist zugleich für die ENISA zugänglich (Art. 14 Abs. 7).
Die Hauptniederlassung eines Herstellers ist der Ort, an dem überwiegend die Entscheidungen über die Cybersicherheit seiner Produkte getroffen werden. Hat ein Hersteller keine Hauptniederlassung in der EU, gilt die Reihenfolge nach Art. 14 Abs. 7: zuerst der Mitgliedstaat des Bevollmächtigten, der für die meisten seiner Produkte tätig ist, dann der des Einführers, der die meisten seiner Produkte in Verkehr bringt, dann der des Händlers, der die meisten bereitstellt, und schließlich der Mitgliedstaat mit den meisten Nutzern. Bei einer Marke außerhalb der EU, die über einen Einführer in der EU verkauft, kann also das Land des Einführers darüber entscheiden, welches CSIRT die Meldung erhält.
Produkte, die bereits auf dem Markt sind
Das Detail, das viele Unternehmen überrascht, steht in den Übergangsbestimmungen. In der Regel fallen Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, nur dann unter den CRA, wenn sie nach diesem Datum wesentlich verändert werden (Art. 69 Abs. 2). Art. 69 Abs. 3 macht eine Ausnahme: Die Meldepflichten nach Art. 14 gelten für alle Produkte im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Ein vernetztes Produkt, das Sie 2024 auf den Markt gebracht haben und weiter betreuen, unterliegt der Meldepflicht also ab dem 11. September 2026, obwohl es keine CRA-Konformitätsbewertung braucht, solange es nicht ab dem 11. Dezember 2027 wesentlich verändert wird.
Der CRA knüpft an die Pflicht auch spürbare Sanktionen. Nach Art. 64 Abs. 2 kann die Nichteinhaltung der Pflichten aus Art. 14 zu Geldbußen von bis zu 15 Millionen Euro oder, bei einem Unternehmen, von bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres führen, je nachdem, welcher Betrag höher ist.
Ein Vorbereitungsplan für den Sommer
Mit noch drei Monaten bis zum Stichtag ist die Arbeit vor allem organisatorisch:
- Listen Sie jedes vernetzte Produkt auf, das Sie in Verkehr gebracht haben, auch eingestellte Modelle, die noch im Einsatz sind, und die Softwareversionen im Feld.
- Benennen Sie, wer verantwortlich ist, binnen Stunden zu entscheiden, ob ein Fall als „aktiv ausgenutzte Schwachstelle“ oder als „schwerwiegender Sicherheitsvorfall“ meldepflichtig ist, und wer die Frühwarnung absendet.
- Richten Sie einen Eingangskanal für Schwachstelleninformationen ein – von Lieferanten, Forschenden, Kunden und aus Ihrem eigenen Monitoring –, damit Sie wissen, wann die 24-Stunden-Frist beginnt.
- Klären Sie, wo Ihre Hauptniederlassung liegt, oder welcher Mitgliedstaat nach der Reihenfolge in Art. 14 Abs. 7 gilt, wenn Sie außerhalb der EU sitzen.
- Bereiten Sie Vorlagen für die Nutzerkommunikation nach Art. 14 Abs. 8 vor, in den Sprachen der Märkte, in denen das Produkt verkauft wird.
- Vereinbaren Sie die Rollen mit Ihrem Einführer oder Bevollmächtigten, damit Informationen den Hersteller schnell erreichen.
Ist Ihr Produkt zugleich eine Funkanlage, lesen Sie unseren Leitfaden zur Funkanlagenrichtlinie und die Problemseiten zu neuen Cybersicherheitsvorschriften für vernetzte Geräte und zum Hinzufügen von Bluetooth oder WLAN zu einem bestehenden Produkt.
So unterstützt Conphora Sie
Die Meldepflicht nach dem CRA ist ein Fristenproblem: Die Informationen, die Sie in den ersten 24 Stunden brauchen, müssen bereitliegen, bevor etwas passiert. Mit Conphora können Sie:
- ein Register Ihrer vernetzten Produkte führen – mit Modellen, Softwareversionen, Märkten und den beteiligten Wirtschaftsakteuren.
- jedes Produkt mit den zuständigen Personen und Unterlagen verknüpfen, damit die Person, die über eine Meldung entscheiden muss, alles an einem Ort findet.
- die CRA-Termine pro Produkt verfolgen – von der Meldepflicht im September 2026 bis zur vollständigen Anwendung im Dezember 2027.
- Meldungen und Nutzerhinweise beim jeweiligen Produkt ablegen, bereit für eine Anfrage der Marktüberwachung.
So funktioniert Conphora und wie es Produktunterlagen für die Behörden bereithält.
Sollen Ihre vernetzten Produkte zum 11. September bereit sein? Tarife und Preise ansehen →