Cyber Resilience Act: Was ab September 2026 auf Hersteller zukommt

Der Cyber Resilience Act (CRA) ist seit Dezember 2024 in Kraft, doch für viele Unternehmen fühlt er sich noch wie Zukunftsmusik an. Zu Unrecht: Bereits am 11. September 2026 greift mit Artikel 14 die erste konkrete Pflicht – lange bevor die vollständigen Herstelleranforderungen im Dezember 2027 verbindlich werden.

Was am 11. September 2026 passiert

Ab diesem Datum müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Meldeplattform der EU-Agentur für Cybersicherheit (ENISA) melden. Der Prozess ist gestuft: eine Frühwarnung innerhalb von 24 Stunden, ein Detailbericht nach 72 Stunden und ein Abschlussbericht spätestens einen Monat nach dem Vorfall.

Der Punkt, den viele übersehen

Die Meldepflicht gilt nicht nur für neue Produkte. Anders als die umfassenden Herstellerpflichten, die erst ab Dezember 2027 für neu in Verkehr gebrachte Produkte greifen, erfasst Artikel 14 ausdrücklich auch Produkte, die bereits heute im Markt sind. Ein Bestandsschutz existiert nicht – wer also digitale Produkte im Umlauf hat, sollte den Meldeprozess schon jetzt aufbauen, nicht erst kurz vor der Frist.

Was bei Verstößen droht

Bei Verstößen gegen die wesentlichen Sicherheitsanforderungen des CRA drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes – der jeweils höhere Betrag ist maßgeblich. Für sonstige Pflichtverletzungen und fehlerhafte Behördenangaben gelten gestaffelt niedrigere, aber immer noch empfindliche Bußgeldrahmen.

Was Sie jetzt konkret tun sollten

Drei Schritte helfen, die Frist entspannt zu nehmen: Erstens die eigene Produktlandschaft auf digitale Elemente prüfen und die Betroffenheit klären. Zweitens interne Verantwortlichkeiten und Meldewege für den 24-/72-Stunden-Prozess festlegen. Drittens – sofern noch nicht vorhanden – ein systematisches Schwachstellenmanagement aufbauen, idealerweise auf Basis eines bestehenden oder neu einzuführenden ISO-27001-Managementsystems, das die nötigen Prozesse ohnehin mitbringt.

Mehr zum Meldeprozess, den Fristen und den Synergien mit NIS2 und ISO 27001 finden Sie auf unserer Themenseite zum Cyber Resilience Act.