Cyber Resilience Act: Neue Meldepflichten sind in Kraft
Was gilt seit dem 11. September 2026?
Seit diesem Datum müssen Hersteller von Produkten mit digitalen Elementen (Software, Hardware, IoT-Geräte, industrielle Steuerungen, Apps usw.) nach Artikel 14 des Cyber Resilience Act zwei Arten von Sicherheitsereignissen melden, eine bereits vor diesem Datum bekannte aktive Ausnutzung muss grundsätzlich nicht rückwirkend gemeldet werden:
1. Aktiv ausgenutzte Schwachstellen, (actively exploited vulnerabilities)
Eine Schwachstelle ist meldepflichtig, wenn verlässliche Hinweise vorliegen, dass sie tatsächlich von einem Angreifer ausgenutzt wurde. Die bloße Existenz einer Schwachstelle reicht hierfür nicht aus.
2. Schwerwiegende Sicherheitsvorfälle, (severe incidents affecting the security)
Meldepflichtig sind Vorfälle, die beispielsweise wichtige Produktfunktionen, sensible Daten oder die Sicherheit verbundener Geräte und Netzwerke erheblich beeinträchtigen.
Welche Meldefristen gelten?
Die Meldefristen beginnen, sobald der Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall erlangt.
Innerhalb von 24 Stunden
Frühwarnung abgeben
Übermitteln Sie die zunächst verfügbaren Angaben zum Ereignis. Die Meldung muss ohne unangemessene Verzögerung erfolgen.
Innerhalb von 72 Stunden
Hauptmeldung einreichen
Ergänzen Sie Informationen zum betroffenen Produkt, zum Ereignis, zu einer ersten Bewertung sowie zu bereits ergriffenen oder möglichen Schutzmaßnahmen.
Nach der Hauptmeldung
Abschlussbericht übermitteln
- Bei aktiv ausgenutzten Schwachstellen: spätestens 14 Tage, nachdem eine Korrektur- oder Minderungsmaßnahme verfügbar ist.
- Bei schwerwiegenden Sicherheitsvorfällen: innerhalb eines Monats nach der 72-Stunden-Meldung.
Wichtig: Die Fristen laufen ab Kenntnis des Ereignisses und nicht erst nach Abschluss der internen Prüfung.
Wo und wie erfolgt die Meldung?
Die Meldung erfolgt ausschließlich online über die CRA Single Reporting Platform der ENISA.
Vorgehen:
- Im Portal „Assigned Representative“ auswählen.
- Mit einem persönlichen EU-Login anmelden; MFA ist erforderlich.
- Das Unternehmen registrieren beziehungsweise auswählen.
- Den meldepflichtigen Vorgang anlegen und das koordinierende CSIRT auswählen. Maßgeblich ist grundsätzlich der Hauptsitz des Herstellers.
- Zunächst die Frühwarnung innerhalb von 24 Stunden absenden.
- Die Meldung innerhalb von 72 Stunden ergänzen und später den Abschlussbericht über denselben Vorgang einreichen.
Die Meldung wird dem zuständigen nationalen CSIRT übermittelt.
CRA-MELDUNG
CRA-Meldung bei ENISA einreichen
Betroffene Nutzer informieren
Hersteller müssen betroffene Nutzer, gegebenenfalls auch alle Nutzer, über aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle informieren. Soweit erforderlich, müssen sie dabei konkrete Schutz- und Abhilfemaßnahmen mitteilen, die Nutzer ergreifen können.
Die meisten weiteren CRA-Pflichten gelten ab Dezember 2027
Für Hersteller ist die zeitliche Abgrenzung wichtig: Seit dem 11. September 2026 gelten zunächst die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.
Die meisten weiteren Anforderungen des CRA gelten ab dem 11. Dezember 2027. Dazu gehören insbesondere Cybersecurity-by-Design, Risikoanalysen, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung, die Festlegung eines Supportzeitraums sowie weitergehende Pflichten zum Schwachstellenmanagement.
Bereits seit dem 11. Juni 2026 gelten außerdem die Vorschriften über die Notifizierung von Konformitätsbewertungsstellen. Diese richten sich in erster Linie an die zuständigen Behörden und Konformitätsbewertungsstellen, nicht an alle Hersteller.
Was bedeutet das für die Praxis?
Um die Meldefristen zuverlässig einzuhalten, sollten Hersteller einen verbindlichen internen 24/72-Stunden-Meldeprozess eingerichtet haben. Darin sollte klar geregelt sein,
- wer beurteilt, ob eine Schwachstelle aktiv ausgenutzt wird oder ein Sicherheitsvorfall als schwerwiegend einzustufen ist,
- wer den Zeitpunkt der Kenntniserlangung dokumentiert und die Meldefristen überwacht,
- wer die Meldung prüft und freigibt,
- wer über einen persönlichen Zugang zur ENISA-Plattform verfügt,
- wer die erforderlichen Folgemeldungen und den Abschlussbericht einreicht und
- wer betroffene Nutzer informiert und ihnen erforderliche Schutz- oder Abhilfemaßnahmen mitteilt.
Quellen
- Titelbildquelle: KI-generiert
- Rechtsgrundlage: Verordnung (EU) 2024/2847 (Cyber Resilience Act), insbesondere Artikel 14
