Seit dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847). Sie betreffen Hersteller von Hard- und Software mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden – und zwar auch für Produkte, die bereits vor diesem Datum in Verkehr gebracht wurden.
Was zu melden ist
- Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts beeinträchtigen,
- gestuft: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht danach,
- über die einheitliche Meldeplattform der ENISA an das zuständige CSIRT – in Deutschland das BSI.
Die übrigen Pflichten des CRA – insbesondere die grundlegenden Cybersicherheitsanforderungen, Konformitätsbewertung und CE-Kennzeichnung – gelten ab dem 11. Dezember 2027. Hersteller, Importeure und Händler sollten Meldeprozesse, Verantwortlichkeiten und Zulieferverträge jetzt festlegen und mit bestehenden NIS-2-Pflichten abstimmen.
Mehr zum Thema: IT-Recht · Compliance · Vertragsrecht