Der Cyber Resilience Act: Meldepflichten für digitale Produkte gelten jetzt

Die Verordnung (EU) 2024/2847, der Cyber Resilience Act (CRA), führt verpflichtende Cybersicherheitsanforderungen für Produkte mit digitalen Elementen über deren gesamten Lebenszyklus ein. Ihre in Artikel 14 festgelegten Meldepflichten traten am 11. September 2026 in Kraft. Ihre wesentlichen Cybersicherheitsanforderungen gelten hingegen erst ab dem 11. Dezember 2027.

Am selben Tag, an dem die Meldepflichten in Kraft traten, startete die ENISA die Single Reporting Platform (SRP), den einheitlichen elektronischen Kanal, über den Hersteller und Betreuer quelloffener Software gleichzeitig dem koordinierenden nationalen CSIRT und der ENISA jede aktiv ausgenutzte Schwachstelle oder jeden schwerwiegenden Vorfall melden müssen.

Wer melden muss, und was

Die Pflichten nach Artikel 14 gelten für Hersteller, definiert als Einrichtungen, die Produkte mit digitalen Elementen entwerfen, entwickeln oder herstellen, sei es selbst oder über Dritte, und sie unter eigenem Namen oder eigener Marke auf dem EU-Markt in Verkehr bringen. Zwei Kategorien von Ereignissen müssen gemeldet werden.

• Aktiv ausgenutzte Schwachstelle: eine Schwachstelle, für die verlässliche Beweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Erlaubnis des Systemeigentümers ausgenutzt hat.
• Schwerwiegender Vorfall: ein Vorfall, der die Vertraulichkeit, Integrität oder Verfügbarkeit der Daten oder Funktionen des Produkts beeinträchtigt oder beeinträchtigen könnte, oder der zur Einschleusung oder Ausführung von Schadcode im Produkt oder in den Netz- und Informationssystemen eines Nutzers geführt hat oder führen könnte.

Eine dreistufige Uhr, keine einzelne Frist

Sobald ein Hersteller von einem meldepflichtigen Ereignis Kenntnis erlangt, legt die im Juli 2026 veröffentlichte Leitlinie der Europäischen Kommission drei aufeinanderfolgende Fristen fest, die ab dem Zeitpunkt laufen, zu dem der Hersteller nach einer ersten Bewertung mit hinreichender Sicherheit von der aktiven Ausnutzung oder der Schwere des Vorfalls ausgeht.

• Frühwarnung: innerhalb von 24 Stunden.
• Meldung: innerhalb von 72 Stunden.
• Abschlussbericht: innerhalb von 14 Tagen, nachdem eine Korrektur- oder Minderungsmassnahme für eine aktiv ausgenutzte Schwachstelle verfügbar ist, oder innerhalb eines Monats nach der 72-Stunden-Meldung bei einem schwerwiegenden Vorfall.

Hersteller müssen zudem betroffene Nutzer und gegebenenfalls alle Nutzer des Produkts informieren, damit diese Minderungsmassnahmen auf ihren eigenen Systemen ergreifen können.

Der Anwendungsbereich ist weiter, als es zunächst scheint

Die Meldepflichten gelten bereits für Produkte, die vor dem Datum der vollständigen Anwendung des CRA auf dem EU-Markt in Verkehr gebracht wurden, einschliesslich Altprodukten, und gelten weiter, nachdem die offizielle Supportdauer eines Produkts geendet hat. Die einzige durch die Leitlinie der Kommission bestätigte Erleichterung: Hersteller müssen eine aktive Ausnutzung, von der sie bereits vor dem 11. September 2026 Kenntnis hatten, nicht rückwirkend melden.

Warum Produktsicherheit zu einer Transaktionsfrage wird

Für einen Technologieanbieter, einen Hardwarehersteller oder einen Anbieter industrieller Software verändert der CRA das Due-Diligence-Gespräch auf dieselbe Weise, wie NIS2 es für Betreiber kritischer Infrastrukturen verändert hat. Ein Käufer, der ein Produktunternehmen bewertet, wird zunehmend nicht nur fragen, ob das Produkt funktioniert, sondern ob dessen Hersteller einen funktionierenden Prozess zur Offenlegung und Meldung von Schwachstellen, Nachweise für während der Entwicklung getroffene Security-by-Design-Entscheidungen und zehn Jahre aufbewahrte technische Dokumentation vorweisen kann.

“Ein Unternehmen, das noch nie eine Schwachstelle melden musste, ist nicht zwangsläufig ein Unternehmen ohne Schwachstellen. Es kann schlicht ein Unternehmen sein, das nie getestet hat, ob es eine innerhalb von 24 Stunden melden könnte.”

— Aegryn

Aegryn Advisory unterstützt Organisationen, die Produkte mit digitalen Elementen entwerfen, entwickeln oder herstellen, bei der Strukturierung des Schwachstellenmanagements, der Bereitschaft zur Vorfallsmeldung und der technischen Dokumentation im Rahmen des Cyber Resilience Act, und zertifiziert das Ergebnis unter der Dimension Sicherheit & Souveränität des CIFSO, noch bevor ein Käufer, Versicherer oder Regulator einen Nachweis verlangt.