Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen, die in der Europäischen Union verkauft werden, gehackte Software melden – und das schnell.

Die erste harte Frist des Cyber Resilience Act (CRA) ist in Kraft. Nach Artikel 14 müssen Hersteller innerhalb von 24 Stunden nach Kenntnisnahme eine Frühwarnung zu einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall abgeben, der die Sicherheit ihres Produkts betrifft, gefolgt von einer vollständigen Meldung innerhalb von 72 Stunden. Ein Abschlussbericht ist spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme bei einer ausgenutzten Schwachstelle fällig – bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.

Die Meldungen laufen über einen einzigen Kanal: die von ENISA aufgebaute CRA Single Reporting Platform (SRP), die am 11. September in Betrieb ging. Hersteller melden einmal; die Plattform leitet den Bericht an das CSIRT des Mitgliedstaats weiter, in dem das Unternehmen seinen Hauptsitz hat, und teilt ihn – außer in Ausnahmefällen – zeitgleich mit ENISA und den CSIRTs der Länder, in denen das Produkt bereitgestellt wurde.

Die Pflichten betreffen Hardware und Software auf dem EU-Markt. Primär verantwortlich sind die Hersteller; Importeure und Händler haben eigene Pflichten. Open-Source-Software-Stewards trifft es später: Ihre Meldepflichten nach Artikel 24(3) beginnen am 11. Dezember 2027.

Dann greift auch der Großteil der Verordnung. Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, Schwachstellenmanagement und Sicherheits-Supportzeiträume gelten ab dem 11. Dezember 2027 – 15 Monate nachdem die Meldeuhr zu laufen begann. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Die praktische Schwierigkeit ist das Tempo. Beratende Anwaltskanzleien weisen darauf hin, dass die Fristen in Stunden statt in Tagen gemessen werden – Unternehmen müssen also rasch entscheiden, ob ein Ereignis überhaupt meldepflichtig ist, und vorab Eskalationswege und technische Überwachung aufbauen. Das Privacy-Team von DLA Piper nennt die Anforderungen "eine frühe Priorität für Organisationen, die sich auf die Compliance vorbereiten", und warnt, dass weiterhin regulatorische Unsicherheiten bestehen.

Quellen