Wer ein Produkt mit digitalen Funktionen entwickelt oder vertreibt – eine App, ein vernetztes Gerät, eine Software, die mit dem Internet spricht – ist ab dem 11. September in der Pflicht. Es geht dabei nicht nur um Industrieanlagen oder IoT-Konzerne. Auch ein mittelständischer Maschinenbauer mit vernetzter Steuerungssoftware oder eine Agentur, die eine App für einen Kunden betreibt, kann darunterfallen.
Nächster Schritt
Sind Sie vom Cyber Resilience Act betroffen – und vorbereitet?
Lassen Sie uns gemeinsam anschauen, ob Ihre Produkte unter den CRA fallen, wie eine Meldung im Ernstfall innerhalb von 24 Stunden funktioniert und welche Vorarbeit Sie bis 2027 einplanen sollten.
Worum es beim Cyber Resilience Act überhaupt geht
Der Cyber Resilience Act (CRA) ist die EU-Verordnung 2024/2847. Sie stellt erstmals einheitliche Cybersicherheits-Anforderungen an „Produkte mit digitalen Elementen“, die in der EU auf den Markt kommen. Der Gedanke dahinter ist einfach: Wer Software oder vernetzte Geräte verkauft, soll sie nicht nur beim Verkauf, sondern über den gesamten Lebenszyklus sicher halten – Schwachstellen erkennen, schließen und Vorfälle melden.
Anders als eine Selbstverpflichtung ist der CRA ein Gesetz mit Aufsicht, Prüfverfahren und Sanktionen. Und er betrifft nicht „das Internet“ im Allgemeinen, sondern sehr konkret Produkte: von der App über die vernetzte Maschinensteuerung bis zur Software, die im Hintergrund Daten austauscht. Für viele mittelständische Betriebe ist genau das die Überraschung – sie sehen sich als Maschinenbauer, Dienstleister oder Agentur, nicht als „Softwarehersteller“. Nach der Logik des CRA sind sie es aber, sobald sie ein digitales Produkt in Verkehr bringen.
Die drei Fristen, die ab jetzt zählen
Der Kern der ersten Stufe ist eine gestaffelte Meldekaskade für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Die Meldung läuft in Deutschland über das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die europäische Agentur ENISA. Die Fristen sind eng:
- Innerhalb von 24 Stunden nach Bekanntwerden eines aktiv ausgenutzten Sicherheitsvorfalls muss eine Frühwarnung abgegeben werden.
- Innerhalb von 72 Stunden folgt eine vollständige Meldung mit einer Einschätzung der Schwere und den ersten Gegenmaßnahmen.
- Nach 14 Tagen ist ein Abschlussbericht fällig.
Wer diese Fristen reißt, riskiert kein Bagatellverfahren. Bei Verstößen gegen die grundlegenden Sicherheits- und Meldepflichten drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ausfällt. Zum Vergleich: Diese Frist von 24 Stunden ist deutlich schärfer als die 72-Stunden-Meldefrist, die viele aus der DSGVO im Hinterkopf haben. In der Praxis heißt das: Ohne einen vorbereiteten Prozess ist sie kaum einzuhalten.
Prozess-Check
Könnten Sie eine Schwachstelle heute in 24 Stunden melden?
Die Fristen laufen erst los, wenn etwas passiert – dann bleibt keine Zeit für Zuständigkeitsfragen. Ich prüfe mit Ihnen, wo im Betrieb der Meldeweg festgelegt sein muss und wie sich das schlank in Ihre Abläufe einbauen lässt.
Was jetzt schon verbindlich wird – und was erst 2027 kommt
Zum 11. September 2026 wird zunächst die Meldepflicht scharf geschaltet. Der zweite große Baustein wird erst zum 11. Dezember 2027 verbindlich. Dazu gehören die vollständige Konformitätsbewertung mit CE-Kennzeichnung für Produkte mit digitalen Elementen und die Bereitstellung einer Software Bill of Materials (SBOM) – einer lückenlosen Liste aller verbauten Softwarekomponenten, inklusive fremder und quelloffener Bausteine.
Das klingt nach Zeit. Ist es aber nicht, wenn man bedenkt, was bis dahin an interner Vorarbeit ansteht: ein Prozess für die Erkennung und Behandlung von Schwachstellen, eine verantwortliche Person für Meldungen und eine Dokumentation, die im Ernstfall in 24 Stunden abrufbar ist. Wer erst 2027 anfängt, diese Struktur aufzubauen, hat die eigentliche Arbeit nicht verstanden. Die SBOM ist dabei kein bürokratischer Selbstzweck: Sie ist die Voraussetzung, um überhaupt schnell zu erkennen, ob eine neu bekannt gewordene Schwachstelle das eigene Produkt betrifft.
Warum das für Unternehmen in MV kein Randthema ist
Ich sehe bei uns in der Region genau das Muster, das schon bei der DSGVO zu beobachten war: Die Regelung betrifft am Ende deutlich mehr Betriebe, als beim ersten Lesen vermutet wird – und die meisten merken das erst, wenn eine Anfrage vom Kunden oder ein Prüfhinweis vom Verband kommt. Ein Betrieb, der eine vernetzte Maschine baut, eine Agentur, die für Kunden Software betreibt, ein Handwerksunternehmen mit smarter Anlagensteuerung: Sie alle sollten jetzt klären, ob und wie sie betroffen sind, statt im September überrascht zu werden.
Drei Fragen helfen bei der ersten Einordnung:
- Bringt mein Unternehmen ein Produkt mit digitalen Funktionen in Verkehr – selbst entwickelt oder als White-Label?
- Gibt es intern schon einen klaren Weg, wie eine entdeckte Schwachstelle innerhalb von 24 Stunden gemeldet wird – und weiß jeder im Team, wer das macht?
- Ist dokumentiert, welche Softwarekomponenten in den eigenen Produkten stecken?
Wer bei einer dieser Fragen ins Stocken gerät, hat jetzt noch Zeit, das vor dem 11. September zu klären. Danach beginnt die Frist mit dem ersten Vorfall, nicht mit dem Beginn der Vorbereitung. Das ist der entscheidende Unterschied: Compliance lässt sich hier nicht kurzfristig „nachziehen“, wenn der Ernstfall schon eingetreten ist.
Wer sich mit dieser Art von Regulierung ohnehin gerade beschäftigt, findet den größeren Zusammenhang in zwei verwandten Beiträgen: Für KI-Systeme gilt seit dem Sommer der EU AI Act mit seinen Kennzeichnungspflichten, und für Online-Shops greift parallel das Barrierefreiheitsstärkungsgesetz. Das Muster ist jeweils dasselbe: keine spektakulären Verbote, sondern Pflichten, die ohne vorbereitete Prozesse im Alltag nicht einzuhalten sind.
Fazit: eine Aufgabe für die Geschäftsführung, nicht nur die IT
Der Cyber Resilience Act ist kein Thema für die IT-Abteilung allein. Er verschiebt Verantwortung in die Geschäftsführung, weil die Meldefristen so kurz sind, dass sie ohne vorbereitete Prozesse nicht einzuhalten sind. Eine 24-Stunden-Frühwarnung ist keine technische Detailfrage, sondern eine Entscheidung darüber, wer im Betrieb im Ernstfall handlungsfähig ist.
Wer jetzt einen nüchternen Blick auf die eigene Produktlandschaft wirft – Welche Produkte haben digitale Funktionen? Wer ist im Vorfall zuständig? Was steckt an Software drin? – geht deutlich entspannter in den Herbst. Diese Vorarbeit ist überschaubar und planbar, solange sie vor dem ersten Vorfall passiert. Danach wird sie teuer.
Häufige Fragen zum Cyber Resilience Act
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA) ist die EU-Verordnung 2024/2847. Sie verpflichtet Hersteller, Importeure und Händler von Produkten mit digitalen Elementen – etwa Software, Apps und vernetzten Geräten – dazu, ihre Produkte über den gesamten Lebenszyklus sicher zu gestalten, Schwachstellen zu behandeln und Sicherheitsvorfälle zu melden.
Ab wann gilt der Cyber Resilience Act?
Die Anwendung ist gestaffelt. Am 11. September 2026 wird die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle scharf geschaltet. Die übrigen Pflichten – darunter die vollständige Konformitätsbewertung und die Bereitstellung einer Software Bill of Materials – gelten ab dem 11. Dezember 2027.
Welche Fristen gelten für die Meldung von Sicherheitsvorfällen?
Es gilt eine dreistufige Meldekaskade: eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden eines aktiv ausgenutzten Vorfalls, eine vollständige Meldung mit Einschätzung der Schwere und ersten Gegenmaßnahmen innerhalb von 72 Stunden und ein Abschlussbericht nach 14 Tagen.
Welche Unternehmen sind vom CRA betroffen?
Alle, die ein Produkt mit digitalen Funktionen in Verkehr bringen: Software, Apps, vernetzte Geräte, Maschinen mit vernetzter Steuerungssoftware. Es geht nicht nur um IoT-Konzerne. Auch ein mittelständischer Maschinenbauer oder eine Agentur, die eine App für einen Kunden betreibt, kann darunterfallen – ob selbst entwickelt oder als White-Label.
Was droht bei Verstößen gegen den CRA?
Bei Verstößen gegen die grundlegenden Sicherheits- und Meldepflichten drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ausfällt.
Was ist eine Software Bill of Materials (SBOM)?
Eine Software Bill of Materials ist eine lückenlose Liste aller Softwarekomponenten, die in einem Produkt verbaut sind – inklusive fremder und quelloffener Bausteine. Sie ist die Grundlage, um im Ernstfall schnell zu erkennen, ob eine neu bekannt gewordene Schwachstelle das eigene Produkt betrifft. Ihre Bereitstellung wird mit dem CRA ab dem 11. Dezember 2027 verbindlich.
Was sollte ich jetzt konkret tun?
Klären Sie drei Dinge: Bringen Sie ein Produkt mit digitalen Funktionen in Verkehr? Gibt es einen festgelegten Weg, wie eine entdeckte Schwachstelle innerhalb von 24 Stunden gemeldet wird, und weiß jeder im Team, wer dafür zuständig ist? Und ist dokumentiert, welche Softwarekomponenten in Ihren Produkten stecken? Wer hier ins Stocken gerät, sollte das vor dem 11. September klären.
Erstgespräch
Klären Sie Ihre Betroffenheit, bevor der erste Vorfall es tut
In einem kurzen Gespräch schauen wir gemeinsam auf Ihre Produktlandschaft: Fallen Sie unter den CRA, wie sieht ein belastbarer Meldeweg aus und welche Vorarbeit bis 2027 ist wirklich nötig – schlank und ohne Aktionismus?
Quellen: Bundesamt für Sicherheit in der Informationstechnik (BSI), IHK Rhein-Neckar, boerse-express.com.
Hinweis: Dieser Beitrag gibt den Sachstand allgemein verständlich wieder und ersetzt keine Rechtsberatung im Einzelfall. Fristen und Detailpflichten können sich ändern; für eine verbindliche Bewertung Ihrer konkreten Situation ziehen Sie bitte fachkundigen Rat hinzu.