Seit dem 11. September 2026 gelten die ersten Pflichten aus dem Cyber Resilience Act (CRA) der EU. Hersteller von Produkten mit digitalen Elementen, also von Software, Apps und vernetzten Geräten, müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden: eine erste Warnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden. Gemeldet wird über eine Plattform der EU-Agentur ENISA. Die übrigen Pflichten des CRA, etwa sichere Voreinstellungen und Sicherheitsupdates, folgen ab Dezember 2027.
Was müssen Hersteller melden?
Zwei Arten von Ereignissen:
- Aktiv ausgenutzte Schwachstellen: Eine Lücke in Ihrem Produkt wird bereits für Angriffe genutzt.
- Schwere Sicherheitsvorfälle: Ein Vorfall beeinträchtigt die Sicherheit Ihres Produkts erheblich.
Die Fristen laut Artikel 14 des CRA:
- Frühwarnung innerhalb von 24 Stunden, nachdem Sie davon erfahren haben.
- Meldung mit weiteren Angaben innerhalb von 72 Stunden.
- Abschlussbericht innerhalb von 14 Tagen, nachdem eine Korrektur verfügbar ist, bei schweren Vorfällen innerhalb eines Monats.
Die Meldung läuft über die Single Reporting Platform der ENISA und geht von dort an das zuständige nationale Team, in Deutschland an das BSI.
Wer ist betroffen?
Die Pflicht trifft Hersteller. Hersteller ist auch, wer ein Produkt entwickeln lässt und es unter eigenem Namen oder eigener Marke anbietet. Wer also eine App von einer Agentur bauen lässt und sie unter seinem Namen herausgibt, ist in der Regel selbst Hersteller.
Ob reine Online-Dienste betroffen sind, also Software, die nur im Browser läuft und nichts beim Kunden installiert, ist nicht für jeden Fall eindeutig. Viele Fachleute sehen reines SaaS eher außerhalb des CRA. Anders sieht es aus, wenn zu Ihrem Angebot eine installierbare App, eine Desktop-Software oder ein Gerät gehört. Prüfen Sie das im Einzelfall.
Was droht bei Verstößen?
Für Verstöße gegen die grundlegenden Anforderungen sieht der CRA Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor. Zuständig für die Marktüberwachung sind die nationalen Behörden.
Was sollten Sie jetzt tun?
- Bestand aufnehmen: Welche Ihrer Produkte enthalten Software, die beim Kunden läuft?
- Zuständigkeit klären: Wer im Unternehmen meldet, wer vertritt, wer entscheidet über Updates?
- Schwachstellen überwachen: Führen Sie eine Liste aller verwendeten Bibliotheken (eine sogenannte SBOM) und lassen Sie sie automatisch auf bekannte Lücken prüfen.
- Meldeablauf vorbereiten: Legen Sie fest, wie eine Meldung innerhalb von 24 Stunden zustande kommt, auch am Wochenende.
- Updates einplanen: Sorgen Sie dafür, dass Sie Korrekturen schnell an Ihre Kunden ausliefern können.
Viele dieser Schritte gehören ohnehin zum sicheren Betrieb einer Software. Wie wichtig schnelle Updates sind, zeigen die Fälle in PHP2Shell und bei selbst gebauten Tools in Vibe Coding im Unternehmen.
Dieser Beitrag ist keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich an Ihre Rechtsberatung.
