Cyber Resilience Act: 24 Stunden bis zur ersten Meldung

Viele Hersteller haben den Cyber Resilience Act (CRA) gedanklich auf Ende 2027 terminiert. Dann gelten die vollständigen Sicherheitsanforderungen für Produkte mit digitalen Elementen. Ein Teil der Pflichten greift aber schon heute: Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden.

Was genau gilt

Grundlage ist Artikel 14 der Verordnung (EU) 2024/2847. Eine erste Frühwarnung muss innerhalb von 24 Stunden erfolgen, nachdem der Hersteller von einer aktiven Ausnutzung erfahren hat. Gemeldet wird über die zentrale Meldeplattform der EU-Agentur ENISA, die zum Stichtag gestartet ist. Wichtig für den Maschinen- und Anlagenbau: Die Pflicht gilt für alle Produkte im Anwendungsbereich, auch für solche, die bereits vor dem Stichtag in Verkehr gebracht wurden. Ein Industrie-Gateway von 2023 ist also genauso betroffen wie ein neues Modell.

Warum das für die Industrie schwierig ist

Eine Meldung binnen 24 Stunden setzt voraus, dass ein Hersteller weiß, welche Softwarekomponenten in welchen Produktversionen stecken und wo diese Produkte im Einsatz sind. Genau daran hapert es oft. Steuerungen, Bedienpanels und Edge-Rechner enthalten Betriebssysteme, Bibliotheken und Open-Source-Komponenten, deren Schwachstellen der Hersteller kennen muss. Ohne eine gepflegte Stückliste der Software, eine sogenannte SBOM, und einen eingespielten Prozess zwischen Entwicklung, Service und Geschäftsführung ist die Frist kaum zu halten.

Wie gut die Unternehmen vorbereitet sind

Eine Umfrage des Digitalverbands Bitkom unter 1.003 Unternehmen zeigte kurz vor dem Stichtag: Zwei Drittel kannten den CRA zumindest dem Namen nach, aber nur 29 Prozent wussten, was er konkret für das eigene Unternehmen bedeutet. Die Bußgelder, die der CRA vorsieht, sind erheblich: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Was Hersteller jetzt tun sollten

Erstens: klären, welche Produkte überhaupt unter den CRA fallen und wer im Unternehmen als Hersteller verantwortlich ist. Zweitens: für jedes Produkt eine aktuelle Software-Stückliste aufbauen. Drittens: einen Meldeprozess mit klaren Zuständigkeiten und Vertretungen festlegen, der auch am Wochenende funktioniert, und den Zugang zur ENISA-Plattform vorbereiten. Viertens: prüfen, wie Sicherheitsupdates zu den Geräten im Feld kommen. Wer Maschinen ohne Fernzugriff ausgeliefert hat, braucht spätestens jetzt einen Plan.

Einordnung

Der CRA verändert die Rolle des Herstellers grundlegend. Mit der Auslieferung endet die Verantwortung nicht mehr, sie beginnt erst. Für Edge-Plattformen und Fernwartung ist das ein Argument, für Hersteller ohne Update-Kanal ein ernstes Risiko. Dieser Beitrag ersetzt keine Rechtsberatung.