Security · 11.9.2026
Mit dem Start der ersten Phase des Cyber Resilience Act müssen Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden melden. Viele Betriebe sind unvorbereitet.
Die ersten verbindlichen Meldepflichten des europäischen Cyber Resilience Act (CRA) sind offiziell in Kraft getreten. Hersteller von Produkten mit digitalen Elementen – dazu zählen sowohl Hardware als auch Software – müssen aktiv ausgenutzte Sicherheitslücken ab sofort innerhalb von 24 Stunden an die zuständigen Behörden melden. Eine aktuelle Umfrage des Branchenverbandes Bitkom verdeutlicht jedoch, dass ein Großteil der betroffenen Unternehmen in Deutschland noch unzureichend auf die neuen bürokratischen und technischen Anforderungen vorbereitet ist.
Der Cyber Resilience Act betrifft nahezu alle Akteure auf dem europäischen IT-Markt, die Software oder vernetzte Geräte vertreiben. Die Pflicht, Sicherheitsvorfälle und Schwachstellen in extrem kurzen Fristen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie die europäische Cybersicherheitsbehörde ENISA zu melden, erfordert hochgradig automatisierte Prozesse. Wer diese Fristen versäumt oder Sicherheitslücken verschweigt, dem drohen empfindliche Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Für IT-Entscheider und Systemhäuser im DACH-Raum ist die Einhaltung somit nicht nur eine Frage der Compliance, sondern ein existenzieller Faktor für das Risikomanagement.
Betroffene Organisationen müssen unverzüglich ihre Incident-Response-Pläne an die neuen gesetzlichen Vorgaben anpassen. Folgende Maßnahmen sollten jetzt im Fokus stehen:
Der Start der CRA-Meldepflichten markiert einen Wendepunkt für die Haftung von IT-Herstellern in Europa. Auch wenn die vollständige Umsetzung des Gesetzes schrittweise erfolgt, duldet die 24-Stunden-Frist für Sicherheitsmeldungen keinen Aufschub mehr. Unternehmen müssen jetzt handeln, um rechtliche und finanzielle Konsequenzen abzuwenden.
Quelle: heise Security