Cyber Resilience Act: Meldepflichten für Schwachstellen ab September 2026

Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb enger Fristen an die zuständige Behörde melden – die ersten konkret wirksamen Pflichten des Cyber Resilience Act (CRA). Die übrigen materiellen Anforderungen, etwa zu Security-by-Design und Produktdokumentation, folgen im Wesentlichen zum 11. Dezember 2027.

Betroffen sind nicht nur klassische Hardware-Hersteller: Der CRA erfasst ausdrücklich auch Software, sofern sie mit digitalen Elementen verbunden ist oder vernetzt betrieben werden kann. IT- und Softwareunternehmen sollten deshalb frühzeitig prüfen, welche eigenen Produkte in den Anwendungsbereich fallen.

Die Vorlaufzeit bis September 2026 sollte genutzt werden, um interne Prozesse für die Erkennung, Bewertung und Meldung von Schwachstellen aufzubauen – strukturell vergleichbar mit dem bereits etablierten Prozess zur 72-Stunden-Meldepflicht bei Datenschutzverletzungen.

Weiterführende Informationen