Ab dem 11. September 2026 gilt die Meldepflicht des EU Cyber Resilience Act.

Hersteller, die ein Produkt mit digitalen Elementen in der EU in Verkehr bringen, melden aktiv ausgenutzte Schwachstellen dann innerhalb fester Fristen an das koordinierende CSIRT und die ENISA. Das gilt auch für Produkte, die heute schon im Feld sind. Die Fristen sind kurz, und sie setzen einen Prozess voraus, der schon steht, bevor der erste Ernstfall eintritt.

Die Fristen

  • 24 Stunden Frühwarnung nach Kenntnis einer aktiv ausgenutzten Schwachstelle
  • 72 Stunden Folgemeldung mit Bewertung, Details und ergriffenen Maßnahmen
  • 14 Tage Abschlussbericht, sobald eine Korrektur- oder Minderungsmaßnahme verfügbar ist

Adressaten sind das als Koordinator benannte CSIRT, in Deutschland das BSI, und die ENISA. Dasselbe Melderegime gilt für schwerwiegende Sicherheitsvorfälle, dort ist der Abschlussbericht einen Monat nach der Folgemeldung fällig.

Gilt der CRA für Ihr Produkt?

Die Verordnung erfasst Produkte mit digitalen Elementen: Geräte und Software, die direkt oder mittelbar eine Datenverbindung haben. Für die meisten vernetzten Produkte lautet die Antwort ja. Reine Websites und reine Cloud-Dienste ohne Produktbezug sind dagegen in der Regel keine Produkte mit digitalen Elementen.

Der CRA gilt, zum Beispiel für

  • Roboter und mobile Robotik
  • vernetzte Industriegeräte und IIoT-Komponenten
  • vernetzte Gebäudetechnik, etwa Brandschutz- und Sicherheitssysteme
  • Software und Firmware, die Teil solcher Produkte ist

Ausgenommen sind unter anderem

  • Medizinprodukte unter der Medizinprodukteverordnung (EU) 2017/745 und In-vitro-Diagnostika unter (EU) 2017/746
  • typgenehmigte Kraftfahrzeuge
  • zivile Luftfahrt
  • Schiffsausrüstung
  • Produkte für Verteidigung und nationale Sicherheit

Diese Produkte regeln ihre Cybersicherheit im jeweils eigenen Rechtsrahmen. Die Ausnahmen gelten dabei je Produkt, nicht je Unternehmen: Begleitsoftware ohne medizinische Zweckbestimmung oder ein Service-Dashboard kann trotzdem unter den CRA fallen. Wenn Ihr Produkt dort hingehört, ist auch das ein Ergebnis: Es erspart Ihnen ein Projekt, das nie nötig war.

Was dafür im Haus stehen muss

  • Ein Meldeweg mit klaren Verantwortlichkeiten, der auch nachts und am Wochenende funktioniert
  • Eine Erfassung und Bewertung eingehender Schwachstellenmeldungen, damit die 24-Stunden-Frist überhaupt beginnen kann
  • Die Verbindung in die Entwicklung: Korrekturmaßnahme, Update-Weg und Dokumentation
  • Nachweise, dass der Prozess gelebt wird, etwa eine geübte Erstmeldung

EU CRA Quickcheck

1.500 € netto

Wir klären, ob und wie der CRA Ihr Produkt trifft, und halten Ihre heutigen Prozesse gegen die Meldepflichten und die Grundanforderungen der Verordnung. Sie erhalten einen schriftlichen Befund, der die Lücken benennt und den Weg zur Konformität aufzeigt. Den Meldeweg selbst bauen wir danach auf, wenn Sie es wollen, gemeinsam mit Ihrem Team.

Erstgespräch vereinbaren

Alle Pakete ansehen