Ab dem 11. September 2026 greifen die neuen Meldepflichten gem\u00e4\u00df Artikel 14 des EU Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen sind damit verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorf\u00e4lle zeitnah an die zust\u00e4ndigen Beh\u00f6rden zu melden.<\/p>\n
W\u00e4hrend die gesetzlichen Rahmenbedingungen nun wirksam werden, offenbart eine aktuelle Umfrage unter deutschen Industrieunternehmen erhebliche Defizite bei der praktischen Umsetzung der strengen Zeitvorgaben.<\/p>\n
Umfassende Meldepflichten f\u00fcr Hardware und Software<\/p>\n
Die Neuregelungen betreffen ein breites Spektrum an Produkten. Neben Hardware fallen s\u00e4mtliche Erzeugnisse mit digitalen Elementen unter die Verordnung, darunter Software, Skripte, Software Development Kits (SDKs) sowie kostenlose Applikationen.<\/p>\n
Die Pflichten gelten dabei nicht nur f\u00fcr Neuentwicklungen, sondern schlie\u00dfen auch bereits in Verkehr gebrachte Bestandsprodukte ein. Hersteller m\u00fcssen Sicherheitsrelevante Vorf\u00e4lle \u00fcber die Single Reporting Platform (ENISA-SRP) sowohl an das zust\u00e4ndige Computer Emergency Response Team (CSIRT) als auch an die EU-Cyber-Sicherheitsbeh\u00f6rde ENISA melden.<\/p>\n
Der Gesetzgeber sieht f\u00fcr die Meldungen einen dreistufigen Prozess vor: Eine erste Fr\u00fchwarnung muss innerhalb von 24 Stunden erfolgen. Es folgt eine detaillierte Meldung innerhalb von 72 Stunden.<\/p>\n
Anzeige<\/p>\n
Wer sich mit den neuen gesetzlichen Anforderungen und aktuellen Cyberrisiken befasst, erh\u00e4lt in diesem kostenlosen Report wichtige Einblicke in die rechtlichen Pflichten f\u00fcr Unternehmer. Jetzt \u00fcber neue KI-Gesetze und Cyberrisiken aufkl\u00e4ren<\/a><\/p>\n Ein abschlie\u00dfender Bericht ist bei Schwachstellen 14 Tage nach Einleitung einer Gegenma\u00dfnahme einzureichen; bei Sicherheitsvorf\u00e4llen endet die Frist einen Monat nach der Erstmeldung. Verst\u00f6\u00dfe gegen diese Anforderungen k\u00f6nnen weitreichende finanzielle Konsequenzen haben. Es drohen Bu\u00dfgelder von bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweit erzielten Jahresumsatzes.<\/p>\n Industrie k\u00e4mpft mit technischer Umsetzung<\/p>\n Trotz der bereits l\u00e4nger bekannten Anforderungen zeigt eine Umfrage der Organisation Onekey unter 200 deutschen Industrieunternehmen ein gemischtes Bild zur Vorbereitung. Zwar gaben 46 % der befragten Firmen an, gut \u00fcber die neuen Regelungen informiert zu sein, doch die praktische Umsetzung bereitet Schwierigkeiten.<\/p>\n So sehen 62 % der Unternehmen Probleme bei der Einhaltung der kritischen 24-Stunden-Meldepflicht. Zudem haben 60 % der Befragten das Thema der Software Bill of Materials (SBOM) noch nicht gel\u00f6st. Ein maschinenlesbares Verzeichnis aller Softwarekomponenten ist jedoch eine zentrale Voraussetzung f\u00fcr die technische Dokumentation nach dem CRA.<\/p>\n Die Relevanz der neuen Fristen verdeutlichen aktuelle F\u00e4lle von Schwachstellen. So unterliegen etwa Router-Schwachstellen, wie sie Anfang September bei MikroTik-Ger\u00e4ten durch das CERT Polska identifiziert wurden, k\u00fcnftig dem strikten 24-Stunden-Regime, sofern sie aktiv ausgenutzt werden.<\/p>\n Anzeige<\/p>\n