Der am 11. Dezember 2024 in Kraft getretene Cyber Resilience Act (CRA) regelt die Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Während die überwiegende Zahl der Regelungen des CRA erst ab dem 11. Dezember 2027 gelten, sind seit dem 11. September 2026 enge Meldefristen im Fall von bestimmten Sicherheitsereignissen scharf gestellt. Welche Produkte hiervon betroffen sind und worauf Unternehmen nun achten müssen, soll in diesem Beitrag beleuchtet werden.

1. Betroffene Produkte

Die Meldepflichten richten sich an Hersteller von Produkten mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Erfasst werden grundsätzlich Produkte, die direkt oder indirekt mit einem Gerät oder einem Netzwerk verbunden werden können. Dies kann neben vernetzter Hardware auch eigenständig vertriebene Software betreffen. Vom Anwendungsbereich ausgenommen sind Produkte, für die bereits sektorspezifische Regelungen mit gleichwertigem Schutzniveau bestehen, etwa Medizinprodukte oder Kraftfahrzeuge.

2. Meldepflichtige Ereignisse

Für die Produkte mit digitalen Elementen gelten seit dem 11. September 2026 die Meldepflichten des Art. 14 CRA. Hersteller solcher Produkte müssen danach aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Meldeplattform CRA Single Reporting Platform melden.

Von praktischer Bedeutung ist, dass die Meldepflicht auch für bereits vertriebene Produkte gilt: Erlangt ein Hersteller nach dem 11. September 2026 Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall in Bezug auf ein bereits in Verkehr gebrachtes Produkt mit digitalen Elementen, greift auch für dieses Produkt die Meldepflicht.

Die Meldepflicht nach Art. 14 CRA wird nicht bei jeder technischen Fehlfunktion oder Sicherheitslücke ausgelöst. Meldepflichtig sind vielmehr:

• Aktiv ausgenutzte Schwachstellen: Erforderlich ist, dass dem Hersteller verlässliche Nachweise für das tatsächliche Ausnutzen einer Schwachstelle durch einen Angreifer vorliegen. Eine intern entdeckte, aber noch nicht ausgenutzte Schwachstelle löst die Meldepflicht dagegen nicht aus.
• Schwerwiegende Sicherheitsvorfälle: Hierunter fallen Vorfälle, die die Fähigkeit eines Produkts beeinträchtigen oder beeinträchtigen können, Daten oder Funktionen zu schützen, oder die zur Ausführung von Schadcode führen können.

Für Hersteller bedeutet dies, dass künftig nicht nur die technische Analyse einer Schwachstelle relevant wird. Ebenso wichtig ist die rechtliche und regulatorische Bewertung, ob ein Ereignis die Meldegrenze überschreitet.

3. Das gestufte Meldeverfahren

Der CRA sieht im Fall eines meldepflichtigen Ereignisses ein mehrstufiges Meldeverfahren vor, das sich an den bereits aus NIS-2 und dem BSIG bekannten Mechanismen orientiert.

a) Frühwarnung innerhalb von 24 Stunden
Sobald ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall erlangt, muss er unverzüglich, spätestens jedoch innerhalb von 24 Stunden eine Frühwarnung auf der Single Reporting Platform übermitteln.

b) Detaillierte Meldung innerhalb von 72 Stunden
Spätestens innerhalb von 72 Stunden ist sodann eine ausführlichere Meldung auf der Single Reporting Platform abzugeben. Diese muss insbesondere Informationen zum betroffenen Produkt, zur Schwachstelle oder zum Sicherheitsvorfall, zu einer etwaigen Ausnutzung der Schwachstelle sowie zu den Auswirkungen des Sicherheitsvorfalls und zu bereits ergriffenen oder geplanten Abhilfe- und Korrekturmaßnahmen enthalten.

c) Abschlussbericht innerhalb von 14 Tagen bzw. einem Monat
Schließlich muss der Hersteller einen Abschlussbericht mit Angaben zur Schwachstelle sowie, soweit bekannt, zum Angreifer und zu Abhilfemaßnahmen vorlegen. Dabei gelten unterschiedliche Fristen, je nachdem, ob es sich um eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall gehandelt hat:

• Im Fall einer aktiv ausgenutzten Schwachstelle muss der Abschlussbericht innerhalb von 14 Tagen nach der Verfügbarkeit von Korrektur- oder Abhilfemaßnahmen,
• im Fall eines schwerwiegenden Sicherheitsvorfalls spätestens einen Monat nach der Vorfallsmeldung vorgelegt werden.

Die Meldungen erfolgen zentral über die von der Europäischen Agentur für Cybersicherheit (ENISA) bereitgestellte CRA Single Reporting Platform. Der Hersteller muss die Meldung damit grundsätzlich nur einmal einreichen; die weitere Verteilung an die zuständigen Stellen erfolgt über das europäische Meldesystem.

Neben der Behördenmeldung trifft den Hersteller gemäß Art. 14 Abs. 8 CRA eine Informationspflicht gegenüber betroffenen Nutzern des Produkts über die Schwachstelle oder den Vorfall sowie über geeignete Minderungs- und Korrekturmaßnahmen.

4. Kenntniserlangung und Sanktionen

Die Meldefristen beginnen nicht erst nach vollständiger technischer Analyse. Nach den zwischenzeitlich veröffentlichten Leitlinien der Europäischen Kommission soll es bereits genügen, dass eine erste Bewertung mit hinreichender Sicherheit darauf hindeutet, dass eine Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Sicherheitsvorfall vorliegt. Daher müssen technische Analyse, rechtliche Bewertung und Meldeentscheidung innerhalb kürzester Zeit erfolgen.

Unterlässt der Hersteller eine nach Art. 14 CRA erforderliche Meldung, drohen im schlimmsten Fall Geldbußen in Millionenhöhe. Der CRA sieht im Fall eines Verstoßes gegen die Meldepflicht eine Geldbuße von bis zu 15 Mio. Euro oder von bis zu 2,5 % des weltweiten Jahresumsatzes vor.

5. Handlungsbedarf für Unternehmen

Die eigentliche Herausforderung liegt weniger in der Abgabe der Meldung als in der organisatorischen Vorbereitung. Unternehmen sollten daher insgesamt Folgendes prüfen:

• Anwendbarkeitsprüfung: Identifizierung der Produkte, die in den Anwendungsbereich des CRA fallen, einschließlich solcher Produkte, die sich bereits auf dem Markt befinden.
• Schwachstellen- und Vorfallmanagement: Etablierung von Prozessen zur Erkennung, Bewertung und internen Eskalation von Schwachstellen und Sicherheitsvorfällen.
• Verantwortlichkeiten: Festlegung klarer interner Zuständigkeiten für die Bewertung meldepflichtiger Ereignisse sowie für die Durchführung von Meldungen unter Einbindung der relevanten Fachbereiche.
• Meldeprozesse und Fristen: Sicherstellung, dass Meldungen fristgerecht abgegeben werden können und insbesondere die 24-Stunden-Frist organisatorisch eingehalten wird.
• Nutzerkommunikation: Vorbereitung von Prozessen zur rechtzeitigen Information betroffener Nutzer über Schwachstellen, Sicherheitsvorfälle und verfügbare Abhilfemaßnahmen.
• Lieferkette: Einbindung von Zulieferern und Komponentenherstellern, um Informationen über Schwachstellen und Sicherheitsvorfälle rechtzeitig zu erhalten und bewerten zu können.

5. Fazit

Mit Anwendbarkeit der Meldepflichten wird der CRA erstmals praktisch spürbar. Wer digitale Produkte in der EU herstellt oder vertreibt, sollte jetzt sicherstellen, dass er im Ernstfall innerhalb von 24 Stunden eine Meldung an die CRA Single Reporting Platform vornehmen kann. Dafür müssen Unternehmen ihre Produkte und die Anwendbarkeit des CRA bewerten und in der Folge konkrete Prozesse schaffen, um Sicherheitsvorfälle zu bewerten, Eskalationsentscheidungen zu treffen und erforderliche Meldungen fristgerecht abzugeben.

Für weitere Fragen zum Cyber Resilience Act, zu NIS-2 oder zum IT- und Datenschutzrecht im Allgemeinen steht Ihnen die Praxisgruppe IP & Data gerne zur Verfügung.

Weiterführend zu NIS-2: 19. September 2024: NIS-2 kommt. Was Unternehmen jetzt wissen müssen und 28. November 2025: NIS-2 approaching – das Umsetzungsgesetz für NIS-2 final verabschiedet – Was Unternehmen jetzt tun sollten