Veröffentlicht am 7. November 2026.
Seit dem 11. September 2026 gelten nach dem Cyber Resilience Act bestimmte Meldepflichten für Hersteller von Produkten mit digitalen Elementen. Betroffen sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle im gesetzlichen Anwendungsbereich.
Fristen und Zuständigkeit vorbereiten
Die Kommission nennt eine Frühwarnung innerhalb von 24 Stunden und eine vollständige Meldung innerhalb von 72 Stunden nach Kenntniserlangung. Für den Abschlussbericht gelten je nach Meldeanlass unterschiedliche Vorgaben. Gemeldet wird über die zentrale Meldeplattform. Die vollständige Anwendbarkeit des CRA ist davon zu unterscheiden.
Vertrag und Organisation zusammendenken
Hersteller sollten klären, wie Schwachstellenmeldungen eingehen, wer sie bewertet und wer die rechtliche Entscheidung vorbereitet. Zulieferverträge können Informations-, Unterstützungs- und Aktualisierungspflichten konkretisieren. Eine Übertragung technischer Aufgaben an Dienstleister beseitigt nicht automatisch die eigene gesetzliche Verantwortung.
Praxisfall: Vernetztes Industriegerät
Ein Zulieferer meldet eine ausgenutzte Schwachstelle in einer eingebauten Komponente. Der Gerätehersteller benötigt kurzfristig belastbare Angaben zu betroffenen Versionen, Auswirkungen und Abhilfemaßnahmen. Eine vorab vereinbarte Eskalationskette erleichtert die Einhaltung der gesetzlichen Meldeabläufe; sie sollte mit Datenschutz- und weiteren Sicherheitsmeldungen abgestimmt werden.
Passende Beratung: Cybersicherheit und digitale Produkte
Quelle: Europäische Kommission: Cyber Resilience Act – Reporting obligations