Cyber Resilience Act: Meldepflicht ab September 2026
Der Cyber Resilience Act (CRA) der EU, Verordnung (EU) 2024/2847, legt erstmals verbindliche Sicherheitsanforderungen für alle „Produkte mit digitalen Elementen“ fest, also für Hardware und Software, die direkt oder indirekt mit einem Netzwerk verbunden werden kann. Das reicht von der SPS in einer Verpackungsmaschine über vernetzte Sensoren bis zur Branchensoftware. Die Verordnung gilt stufenweise; die erste Pflicht wird im September 2026 wirksam.
Ab 11. September 2026: Meldepflicht
Hersteller müssen aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle melden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung mit Bewertung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb von 14 Tagen. Die Meldung erfolgt über eine zentrale Plattform der EU-Agentur ENISA, in Deutschland in Verbindung mit dem BSI.
Ab 11. Dezember 2027: Alle Anforderungen
Von Dezember 2027 an müssen neue Produkte die vollständigen Anforderungen erfüllen: Sicherheit bereits im Entwurf („Security by Design“), keine bekannten ausnutzbaren Schwachstellen bei Auslieferung, sichere Standardkonfiguration, Sicherheitsupdates über die erwartete Nutzungsdauer, eine Software-Stückliste (SBOM) und CE-Kennzeichnung auf Grundlage einer Konformitätsbewertung. Je nach Produktklasse genügt eine Selbsterklärung oder es ist eine externe Prüfstelle erforderlich.
Wer in der Region betroffen ist
Der CRA trifft nicht nur IT-Unternehmen. Maschinen- und Anlagenbauer, Hersteller von Mess- und Regeltechnik, Anbieter von Branchensoftware und Unternehmen, die Produkte mit eigener Firmware vertreiben, gelten als Hersteller. Auch Importeure und Händler haben Pflichten. Für Zulieferer ist wichtig: Wer Komponenten mit Software liefert, wird von seinen Kunden nach SBOM und Update-Zusagen gefragt werden.
Was Sie jetzt tun sollten
- Stellen Sie fest, welche Ihrer Produkte digitale Elemente enthalten und in welche Produktklasse sie fallen.
- Richten Sie einen Prozess ein, mit dem Schwachstellenmeldungen eingehen, bewertet und fristgerecht gemeldet werden können. Das ist die Pflicht, die zuerst greift.
- Beginnen Sie mit einer Software-Stückliste für bestehende Produkte.
- Binden Sie Zulieferer von Software und Komponenten vertraglich ein.
