Was ist passiert?
Seit dem 11. September 2026 gelten die ersten konkreten Meldepflichten des Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen müssen ab sofort aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden. Eine repräsentative Umfrage des Branchenverbands Bitkom zeigt jedoch, dass nur 29 Prozent der Unternehmen in Deutschland die Bedeutung der EU-Verordnung für das eigene Haus einschätzen können. Weitere 38 Prozent haben zwar vom Regelwerk gehört, verstehen aber die Konsequenzen nicht. 28 Prozent kennen den CRA überhaupt nicht.
Die Details
Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen zu Mindeststandards für die Cybersicherheit. Betroffen sind nicht nur vernetzte Geräte wie Router oder industrielle Steuerungen, sondern auch Software. Die meisten inhaltlichen Anforderungen gelten erst für Produkte, die ab dem 11. Dezember 2027 neu auf den EU-Markt kommen. Die jetzt gestarteten Meldepflichten betreffen jedoch bereits den aktuellen Zeitraum.
Der Zeitplan für Meldungen ist eng gefasst:
- Innerhalb von 24 Stunden nach Bekanntwerden ist eine Frühwarnung fällig.
- Innerhalb von 72 Stunden müssen Hersteller weitere Informationen und eine erste Bewertung nachreichen.
- Bei Schwachstellen folgt ein Abschlussbericht spätestens 14 Tage, nachdem eine Abhilfemaßnahme – etwa ein Patch oder Workaround – verfügbar ist.
- Bei schwerwiegenden Sicherheitsvorfällen bleibt ein Monat Zeit nach der 72-Stunden-Meldung.
Für die Meldungen betreibt die EU-Agentur ENISA die zentrale Single Reporting Platform. Hersteller können ihre Meldungen dort einmalig einreichen; die Informationen gehen anschließend an die zuständigen nationalen CSIRTs sowie an ENISA weiter. Der Bitkom kritisiert allerdings, dass Unternehmen die Plattform vor dem Start nicht registrieren und ihre Prozesse nicht vorab erproben konnten – die Plattform ging erst mit Beginn der Meldepflicht online.
Die Bitkom-Umfrage, für die 1003 Unternehmen mit mindestens zehn Beschäftigten und einem Jahresumsatz von mindestens einer Million Euro telefonisch befragt wurden, erfasst vor allem die Bekanntheit des CRA. Sie beantwortet nicht, wie viele Unternehmen ihre Meldewege, Zuständigkeiten oder Schwachstellenprozesse bereits praktisch eingerichtet haben.
Einordnung
Für die Sicherheitstechnik-Branche ist diese Entwicklung besonders relevant: Alarmanlagen, Videoüberwachungssysteme und Zutrittskontrollsysteme sind heute überwiegend vernetzte Produkte mit digitalen Elementen und fallen damit unter den Anwendungsbereich des CRA. Hersteller solcher Systeme – von IP-Kameras über Alarmzentralen bis zu Zutrittskontrollterminals – müssen sich daher mit den neuen Meldepflichten auseinandersetzen, sobald eine aktiv ausgenutzte Schwachstelle in ihren Produkten bekannt wird.
Dabei richtet sich die Meldepflicht in erster Linie an Hersteller, die solche Hard- oder Software entwickeln oder unter eigener Marke vertreiben. Für reine Anwenderunternehmen, etwa Sicherheitsdienstleister oder Errichterbetriebe, die fremde Produkte lediglich einsetzen, dürfte die Frage der eigenen Betroffenheit weniger dringlich sein – relevant bleibt sie dennoch, da Vertriebsmarken ebenfalls als Hersteller im Sinne der Verordnung gelten können.
Praxis-Tipps
Für betroffene Hersteller bedeutet die neue Frist vor allem organisatorischen Druck. Sie müssen innerhalb kürzester Zeit erkennen können, ob eine Schwachstelle tatsächlich aktiv ausgenutzt wird, welche Produkte und Versionen betroffen sind und wer die Meldung intern freigibt. Folgende Punkte sind laut den im Quelltext genannten Ansatzpunkten besonders wichtig:
- Ein belastbares Inventar für eigene Software und zugekaufte Komponenten aufbauen – ohne dieses lässt sich eine Betroffenheit kaum innerhalb von 24 Stunden klären.
- Eine Software Bill of Materials (SBOM) pflegen, um Komponenten und deren Herkunft nachvollziehbar zu dokumentieren.
- Geregelte Prozesse für das Vulnerability Handling etablieren, damit Meldewege und Zuständigkeiten im Ernstfall klar sind.
- Eine nachvollziehbare Zuordnung von Sicherheitsupdates zu den ausgelieferten Produktversionen sicherstellen.
Solche Maßnahmen helfen nicht nur beim späteren Konformitätsnachweis, sondern sind auch Voraussetzung, um bei einer aktiv ausgenutzten Lücke den Umfang eines Vorfalls rasch einzugrenzen – sei es bei vernetzten Kameras, Alarmzentralen oder anderen Komponenten der Sicherheitstechnik.
Ausblick
Die jetzt gestarteten Meldepflichten sind erst der Anfang: Die meisten inhaltlichen Anforderungen des CRA treten erst für Produkte in Kraft, die ab dem 11. Dezember 2027 neu auf den EU-Markt kommen. Bis dahin bleibt Herstellern Zeit, ihre internen Prozesse aufzubauen und zu testen. Angesichts der von Bitkom festgestellten geringen Kenntnis über die konkreten Folgen der Verordnung dürfte der Handlungsbedarf in vielen Unternehmen der Sicherheitstechnik-Branche jedoch größer sein als bislang angenommen. Einen Überblick über den Anwendungsbereich bietet das BSI, weiterführende technische und organisatorische Hinweise liefern die im Quelltext genannten iX-Artikel zum Cyber Resilience Act.
