Cyber Resilience Act: Neue 24-Stunden-Meldepflicht ab 11.09.2026

Seit dem 11. September 2026 gelten erstmals operative Meldepflichten aus dem europäischen Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen müssen bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb klar definierter Fristen melden.

Damit ist der CRA für Unternehmen nicht mehr nur ein Zukunftsthema mit Blick auf 2027. Seit jetzt müssen funktionierende Prozesse für Erkennung, Bewertung, Eskalation und Meldung relevanter Cybersecurity-Ereignisse vorhanden sein.

Kurze Fristen, klare Verantwortung

Für meldepflichtige Ereignisse gilt grundsätzlich:

24 Stunden: erste Frühwarnung nach Kenntniserlangung
72 Stunden: weiterführende Meldung mit ersten Bewertungen
14 Tage: Abschlussbericht bei aktiv ausgenutzten Schwachstellen nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme
1 Monat: Abschlussbericht bei schweren Sicherheitsvorfällen

Entscheidend ist dabei der Zeitpunkt, zu dem der Hersteller Kenntnis von einem meldepflichtigen Ereignis erlangt. Dieser Zeitpunkt sollte deshalb nachvollziehbar dokumentiert werden.

Cybersecurity wird Teil der Produktqualität

Der Cyber Resilience Act ist damit nicht nur ein Thema für IT und Informationssicherheit. Er macht Cybersecurity zu einer verbindlichen Produkteigenschaft und zu einem Bestandteil der regulatorischen Produktkonformität.

Ein Produkt kann mechanisch einwandfrei gefertigt sein, sämtliche funktionalen Prüfungen bestehen und dennoch ein relevantes Produktrisiko darstellen, wenn Software, Firmware oder digitale Komponenten Sicherheitslücken aufweisen.

Für Unternehmen entstehen damit direkte Schnittstellen zu etablierten Prozessen wie:

Qualitätsmanagement
Produktentwicklung
Änderungsmanagement
Lieferantenmanagement
CAPA und Ursachenanalyse
Rückverfolgbarkeit
Konfigurations- und Versionsmanagement
Post-Market-Überwachung

Unternehmen müssen jetzt folgendes sicherstellen:

Hersteller müssen heute bereits wissen, welches Produkt betroffen ist, welche Versionen im Feld sind, wann erstmals Kenntnis über ein Ereignis vorlag, wer die regulatorische Bewertung übernimmt und wer innerhalb der gesetzlichen Fristen meldet.

Damit werden vor allem klare Verantwortlichkeiten, definierte Eskalationswege, belastbare Nachweise und eine enge Zusammenarbeit zwischen Entwicklung, Qualität, IT/Security und Produkt-Compliance entscheidend.

Die vollständigen Produkt-, Entwicklungs- und Konformitätsanforderungen des CRA werden grundsätzlich ab dem 11. Dezember 2027 umfassend anwendbar.