Cyber Resilience Act: Was Software-Hersteller seit der Meldepflicht tun müssen

Was seit dem 11. September 2026 gilt

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist seit Dezember 2024 in Kraft. Seit dem 11. September 2026 gilt der erste Teil, der Hersteller direkt trifft: die Meldepflichten nach Artikel 14. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die ihre Produkte betreffen.

Wichtig: Die Meldepflicht gilt auch für Produkte, die schon vor diesem Datum auf den Markt gekommen sind. Die übrigen Pflichten, etwa Security by Design, Sicherheitsupdates über den gesamten Supportzeitraum, Konformitätsbewertung und CE-Kennzeichnung, folgen am 11. Dezember 2027.

Wer betroffen ist

Der CRA gilt für Produkte mit digitalen Elementen, die in der EU angeboten werden: Software und Hardware, die sich mit einem Gerät oder Netz verbinden kann. Dazu gehören Desktop- und Mobile-Apps, installierbare Business-Software, Firmware und vernetzte Geräte.

• Hersteller tragen die Hauptpflichten, auch wenn sie außerhalb der EU sitzen.
• Importeure und Händler müssen prüfen, ob der Hersteller seine Pflichten erfüllt.
• Reine SaaS-Dienste fallen nicht unter den CRA. Ob NIS2 für Sie gilt, hängt von Sektor und Unternehmensgröße ab. Anders ist es beim CRA, wenn die Cloud zur Funktion eines Produkts gehört, etwa das Backend einer App oder eines Geräts.
• Open Source ohne kommerzielle Tätigkeit ist ausgenommen. Für Organisationen, die Open Source dauerhaft unterstützen, gilt ein leichteres Regime.

Im Zweifel lohnt eine kurze juristische Einordnung. Wer installierbare Software, Apps oder vernetzte Geräte vertreibt, ist in aller Regel betroffen.

Die Meldekette: 24 Stunden, 72 Stunden, 14 Tage

Sobald Sie von einer aktiv ausgenutzten Schwachstelle erfahren, läuft die Uhr:

1. Frühwarnung binnen 24 Stunden: dass es die Schwachstelle gibt und in welchen Mitgliedstaaten Ihr Produkt verfügbar ist.
2. Meldung binnen 72 Stunden: Details zum Produkt, zur Art der Ausnutzung und zu den ergriffenen oder empfohlenen Maßnahmen.
3. Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur oder Abhilfe verfügbar ist: Schwere, Wirkung, Ursache und Behebung.

Für schwerwiegende Sicherheitsvorfälle gelten ebenfalls 24 und 72 Stunden, der Abschlussbericht ist einen Monat nach der Meldung fällig. Gemeldet wird über die zentrale Meldeplattform der ENISA, gleichzeitig an die ENISA und an das koordinierende CSIRT des Mitgliedstaats Ihrer Hauptniederlassung, in Deutschland das BSI. Gegebenenfalls müssen Sie außerdem betroffene Nutzer informieren.

Warum das ein Code-Thema ist

24 Stunden sind kurz. Um sie zu halten, müssen Sie in kurzer Zeit drei Fragen beantworten können:

• Welche Komponenten stecken in welcher Version Ihres Produkts? Ohne aktuelle Stückliste (SBOM) wissen Sie bei der nächsten Log4j-Lücke nicht, ob Sie betroffen sind.
• Wo im Code liegt das Problem? Wer seinen Code kennt, kann Schwere und Wirkung einschätzen, statt zu raten.
• Wie schnell können Sie ausliefern? Ein Fix nützt erst, wenn er bei den Nutzern ankommt.

Häufig ist es dabei nicht der exotische Zero-Day, sondern eine bekannte Lücke in einer Abhängigkeit, die längst hätte aktualisiert werden können. Immer mehr dieser Abhängigkeiten kommen über KI-Assistenten ins Projekt, mehr dazu in Vibe Coding: Wie sicher ist KI-generierter Code?

Checkliste für die nächsten 30 Tage

1. Betroffenheit klären: Welche Produkte fallen unter den CRA, und in welcher Rolle sind Sie?
2. Zuständigkeit festlegen: Wer meldet, wer vertritt, wer ist am Wochenende erreichbar?
3. SBOM automatisieren: Bei jedem Release eine Stückliste im Format CycloneDX oder SPDX erzeugen.
4. Abhängigkeiten laufend scannen: gegen CVE- und OSV-Datenbanken, mit Alarm bei neuen Treffern.
5. Meldekanal für Dritte öffnen: eine security.txt und eine Richtlinie zur koordinierten Offenlegung.
6. Meldung üben: eine Vorlage für die 24-Stunden-Frühwarnung vorbereiten und einmal durchspielen.
7. Ist-Stand erheben: Wo stehen Sie heute? Ein Code-Audit zeigt bekannte Lücken, veraltete Pakete und Secrets, bevor sie ausgenutzt und damit meldepflichtig werden.

Was bei Verstößen droht

Für Verstöße gegen die grundlegenden Anforderungen und die Pflichten aus Artikel 13 und 14 sieht der CRA Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Hinzu kommen Rücknahmen vom Markt. Kleinst- und Kleinunternehmen sind von Bußgeldern für eine verspätete 24-Stunden-Frühwarnung ausgenommen, melden müssen sie trotzdem.

Dieser Artikel ordnet ein, er ersetzt keine Rechtsberatung.

Wie ein Code-Audit hilft

Unser Code-Audit prüft Ihre Abhängigkeiten gegen bekannte Schwachstellen, sucht Secrets in Code und Historie und bewertet den Code entlang der OWASP Top 10:2025. Jeder Befund kommt mit CVSS-Bewertung und Maßnahmenplan. Der Report dient Ihnen als dokumentierter Ist-Stand gegenüber Kunden und Aufsicht. Festpreis 890 € netto, Lieferung in 2 Werktagen.

Eine Konformitätsbewertung oder CE-Kennzeichnung ersetzt der Report nicht. Er zeigt Ihnen aber, wo Sie anfangen müssen. Wie wir dabei vorgehen, beschreibt unsere Methodik.

Dieser Artikel entstand mit Unterstützung automatisierter Recherche und KI. David Kreutzer hat ihn fachlich geprüft und am 1. November 2026 freigegeben.