Cyber Resilience Act: Welche Meldepflichten gelten ab wann?
Kurz gesagt
Der Cyber Resilience Act (VO 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen zu sicherer Entwicklung, Schwachstellenmanagement und Meldungen an ENISA und die zuständigen CSIRTs. Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden vorgemeldet werden, die vollen Konformitäts- und CE-Kennzeichnungspflichten greifen ab 11. Dezember 2027. Anders als NIS2, das Betreiber reguliert, setzt der CRA bei den Produkten selbst an.
Welche Produkte erfasst sind
Der CRA erfasst Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden — sowohl Hardware als auch eigenständig vermarktete Software:
- Computer, Smartphones, Router und Netzwerkkomponenten
- Smart-Home- und IoT-Produkte
- industrielle Steuerungs- und OT-Komponenten
- Betriebssysteme, Bürosoftware, Spiele und mobile Apps
- Softwarebibliotheken oder andere Softwarekomponenten, wenn sie separat auf dem Markt bereitgestellt werden
- bestimmte Remote-Data-Processing-Lösungen, soweit sie einem Produkt mit digitalen Elementen zugeordnet sind
Nicht jede digitale Dienstleistung ist automatisch ein CRA-Produkt: Reine Cloud- und SaaS-Angebote fallen grundsätzlich nicht unter den CRA, können aber unter NIS2 fallen. Individuell für einen Kunden entwickelte Software ist nicht automatisch ausgenommen — entscheidend ist, ob es sich um eine reine Dienstleistung handelt oder ob die Software als Produkt beziehungsweise wiederverwendbare Lösung auf dem Markt bereitgestellt wird. Rein intern entwickelte und genutzte Software ist in der Regel kein auf dem Markt bereitgestelltes CRA-Produkt. Bestimmte nichtkommerzielle Open-Source-Projekte sind ausgenommen; sobald eine kommerzielle Tätigkeit oder Bereitstellung vorliegt, kann CRA-Relevanz entstehen.
Meldepflichten ab 11. September 2026
Die Meldepflichten aus Artikel 14 CRA gelten bereits ab dem 11. September 2026 — deutlich vor der vollen Anwendbarkeit der Verordnung. Das betrifft auch Produkte, die schon vor dem 11. Dezember 2027 auf dem Markt waren. Meldepflichtig sind Hersteller, sobald sie Kenntnis erlangen von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall, der die Produktsicherheit beeinträchtigt oder beeinträchtigen kann.
Die Fristen laufen ab dem Zeitpunkt der Kenntniserlangung:
- Frühwarnung — unverzüglich, spätestens innerhalb von 24 Stunden: erste Information über die Schwachstelle oder den Vorfall.
- Hauptmeldung — spätestens innerhalb von 72 Stunden: nähere Angaben, erste Bewertung, ergriffene oder geplante Maßnahmen.
- Abschlussbericht bei aktiv ausgenutzter Schwachstelle — spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist (nicht 14 Tage ab Kenntnis).
- Abschlussbericht bei schwerwiegendem Sicherheitsvorfall — innerhalb eines Monats nach der 72-Stunden-Meldung.
An wen gemeldet wird
Die Meldung erfolgt einmalig über die von ENISA betriebene CRA Single Reporting Platform. Adressat ist das als Koordinator zuständige CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat, sowie grundsätzlich gleichzeitig ENISA selbst. Das zuständige CSIRT leitet die Meldung anschließend an weitere betroffene CSIRTs in Mitgliedstaaten weiter, in denen das Produkt bereitgestellt wurde.
Volle Pflichten und CE-Kennzeichnung ab Dezember 2027
Die CRA ist grundsätzlich ab dem 11. Dezember 2027 voll anwendbar. Ab diesem Zeitpunkt greifen die vollständigen Anforderungen an sichere Gestaltung, Entwicklung und Produktion, Schwachstellenmanagement während des Supportzeitraums, Sicherheitsupdates und -dokumentation, technische Dokumentation, EU-Konformitätserklärung, Konformitätsbewertung und CE-Kennzeichnung. Für Produkte, die bereits vor diesem Datum auf dem Markt waren, gelten die materiellen CRA-Anforderungen in der Regel erst bei einer wesentlichen Änderung nach dem Stichtag — die Meldepflichten nach Artikel 14 bilden davon eine ausdrückliche Ausnahme und gelten schon ab September 2026 auch für solche Altprodukte.
Abgrenzung zu NIS2
Der zentrale Unterschied: Der CRA reguliert Produkte, NIS2 reguliert Betreiber und Organisationen.
- CRA: Hersteller, Importeure und Händler von Produkten mit digitalen Elementen; Fokus auf Cybersicherheit eines konkreten Produkts über dessen Lebenszyklus; Meldepflicht für aktiv ausgenutzte Produktschwachstellen und schwerwiegende produktbezogene Sicherheitsvorfälle.
- NIS2: bestimmte wesentliche und wichtige Einrichtungen in kritischen oder besonders relevanten Sektoren; Fokus auf Risikomanagement, Governance und Sicherheit der Netz- und Informationssysteme einer Organisation; erfasst auch bestimmte digitale Dienste und Cloud-/SaaS-Anbieter.
Ein Softwareanbieter kann beiden Regelwerken zugleich unterliegen: Sein Produkt kann unter den CRA fallen, während sein Unternehmen als betroffene Einrichtung oder digitaler Dienst gleichzeitig unter NIS2 fällt. Der CRA ersetzt NIS2 nicht, beide Pflichtenkataloge bestehen nebeneinander.
Wer als Hersteller, Importeur oder Händler gilt
Hersteller ist, wer ein Produkt mit digitalen Elementen entwickelt oder herstellen lässt und unter eigenem Namen oder eigener Marke vermarktet — das schließt Softwareunternehmen ein, die eine Anwendung, ein Betriebssystem oder eine eingebettete Softwarekomponente anbieten. Importeure stellen Produkte von Herstellern aus Drittstaaten erstmals auf dem EU-Markt bereit und müssen die Konformität prüfen. Händler stellen Produkte bereit, ohne Hersteller oder Importeur zu sein; wird ein Händler unter eigener Marke tätig oder verändert er ein Produkt wesentlich, kann er selbst in die Herstellerrolle fallen.