Seit dem 11. September 2026 gilt die Meldepflicht des Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen müssen seit diesem Datum eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden melden. Das ist mehr als ein Jahr vor der vollständigen Anwendung der Verordnung am 11. Dezember 2027.
Viele Organisationen kennen inzwischen die Meldepflicht aus dem niederländischen Cybersicherheitsgesetz (Cyberbeveiligingswet, Cbw), der niederländischen Umsetzung von NIS2. Der CRA fügt eine zweite Meldepflicht hinzu, die auf das Produkt statt auf die Organisation zielt.
Was ist der CRA?
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847. Sie stellt Cybersicherheitsanforderungen an Produkte mit digitalen Elementen: Hardware und Software, die direkt oder indirekt mit einem anderen Gerät oder Netzwerk verbunden sind. Denken Sie an smarte Geräte, Netzwerkausrüstung, Betriebssysteme, Apps und Softwarebibliotheken. Die Verordnung gilt unmittelbar in allen Mitgliedstaaten; anders als bei NIS2 ist keine nationale Umsetzung erforderlich.
Der CRA wird stufenweise eingeführt. Die meisten Anforderungen, wie Security by Design, eine Konformitätsbewertung und die CE-Kennzeichnung, gelten ab dem 11. Dezember 2027. Die Meldepflicht aus Artikel 14 geht voraus und gilt bereits seit dem 11. September 2026.
Was müssen Sie melden, und wann?
Die Meldepflicht umfasst zwei Arten von Ereignissen:
Für beide gilt ein gestuftes Meldeverfahren:
| Schritt | Frist | Inhalt |
|---|---|---|
| Frühwarnung | innerhalb von 24 Stunden nach Kenntnisnahme | kurze Meldung, dass etwas vorliegt |
| Meldung | innerhalb von 72 Stunden | mehr Details: Art, Schweregrad, betroffenes Produkt, etwaige Abhilfemaßnahmen |
| Abschlussbericht | innerhalb von 14 Tagen (Schwachstelle) bzw. 1 Monat (Vorfall) | Ursache, Auswirkungen, ergriffene Maßnahmen |
Die 24 Stunden beginnen in dem Moment zu laufen, in dem Sie Kenntnis von der Ausnutzung erlangen. Nicht dann, wenn Ihr Entwicklungsteam die Ursache gefunden hat oder der Patch fertig ist.
Wo melden Sie?
Meldungen erfolgen über die Single Reporting Platform der ENISA. In den Niederlanden ist das NCSC (Nationaal Cyber Security Centrum, das nationale Cybersicherheitszentrum) als CSIRT-Koordinator und Empfänger für Hersteller mit Hauptniederlassung in den Niederlanden benannt. Sie geben eine Meldung ab; diese erreicht das NCSC und die ENISA und wird bei Bedarf mit den betroffenen CSIRTs in anderen Mitgliedstaaten geteilt.
Für wen gilt das?
Die Meldepflicht richtet sich in erster Linie an Hersteller: alle, die ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke auf den EU-Markt bringen. Das schließt ausdrücklich auch Softwareanbieter ein. Darüber hinaus betrifft der CRA:
Eine häufig gestellte Frage: Gilt der CRA für SaaS? Ein reiner Cloud-Dienst ist kein Produkt und fällt nicht direkt unter den CRA. In der Praxis liefern viele SaaS-Anbieter jedoch auch Client-Software, mobile Apps, Agents oder Integrationskomponenten, die Kunden installieren. Diese Bestandteile sind sehr wohl Produkte mit digitalen Elementen. Prüfen Sie daher je Komponente, ob der CRA anwendbar ist, statt die Frage für den gesamten Dienst pauschal mit "nein" zu beantworten.
Der CRA neben Cbw/NIS2 und ISO 27001
Das Cbw regelt die Widerstandsfähigkeit von Organisationen in wichtigen und wesentlichen Sektoren; der CRA regelt die Sicherheit von Produkten. Eine Organisation kann unter beide fallen, zum Beispiel ein Softwareunternehmen, das als Lieferant unter das Cbw fällt und zugleich Produkte auf den Markt bringt. Beide Gesetze kennen eine Frühwarnung innerhalb von 24 Stunden und eine detaillierte Meldung innerhalb von 72 Stunden.
Wer dafür zwei getrennte Prozesse aufsetzt, leistet doppelte Arbeit und riskiert, dass ein Vorfall bei der einen Stelle gemeldet wird und bei der anderen nicht. Klüger ist ein gemeinsamer Vorfall- und Schwachstellenprozess mit einem kurzen Entscheidungsbaum: Betrifft dies unsere Organisation (Cbw), unser Produkt (CRA) oder beides? ISO 27001 passt hier gut. Die Controls für Incident Management, Schwachstellenmanagement und sichere Entwicklung bilden die Grundlage, auf der beide Meldepflichten aufsetzen können.
Was Sie jetzt einrichten müssen
Eine Checkliste für die kommenden Wochen:
Wie uComply hilft
In uComply erfassen Sie Sicherheitsvorfälle und Schwachstellen als beherrschte Prozesse, nicht als lose E-Mails. Jede Erfassung hat einen Verantwortlichen, einen Status und das Datum der Kenntnisnahme, sodass festgehalten ist, wann die Frist zu laufen begann. Mit Reminders hinterlegen Sie die Meldefristen von 24 Stunden, 72 Stunden, 14 Tagen und 1 Monat als geplante Aufgaben beim zuständigen Kollegen; uComply erinnert automatisch vor der Frist und protokolliert, was wann versendet wurde.
Das Meldeverfahren legen Sie als Maßnahme an und verknüpfen es mit den ISO-27001-Controls für Incident Management, Schwachstellenmanagement und sichere Entwicklung sowie mit dem in uComply enthaltenen Cbw-Control-Framework. Eine Maßnahme, mehrere Normanforderungen: Die doppelte Arbeit für CRA und Cbw entfällt. Nachweise, etwa die Eingangsbestätigung des NCSC, speichern Sie zentral bei der Erfassung. Über Flightdeck sieht das Management auf einen Blick den Status der Maßnahmen, offene Risiken und Feststellungen. Da uComply in Ihrer eigenen Microsoft-365-Umgebung läuft, bleiben sensible Vorfallinformationen in Ihrem Tenant.
Zusammenfassung
Die CRA-Meldepflicht gilt seit dem 11. September 2026 und verlangt eine Reaktion innerhalb von 24 Stunden auf aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in Ihren Produkten. Hersteller, und in der Praxis auch viele SaaS-Anbieter mit Client-Software, tun gut daran, ihren Vorfall- und Schwachstellenprozess jetzt mit ihrem Cbw- und ISO-27001-Ansatz zu kombinieren. Möchten Sie sehen, wie das in uComply aussieht? Vereinbaren Sie eine Demo oder sehen Sie sich die Preise an.
