Cyber Resilience Act: Meldepflichten sicher und fristgerecht erfüllen

Der Cyber Resilience Act ist eine EU-Verordnung für die Cybersicherheit von Produkten mit digitalen Elementen. Er legt unter anderem Anforderungen an sichere Produktentwicklung, Schwachstellenmanagement, Sicherheitsupdates, Dokumentation, Meldungen und Konformitätsbewertung fest.

Die Meldepflichten aus Art. 14 gelten ab dem 11. September 2026. Die meisten weiteren Anforderungen gelten ab dem 11. Dezember 2027.

Betroffen sind insbesondere Unternehmen, die Hard- oder Softwareprodukte mit digitalen Elementen unter ihrem eigenen Namen oder ihrer eigenen Marke auf dem EU-Markt bereitstellen. Die Branche und das Geschäftsmodell sind dabei weniger entscheidend als das konkrete Produkt.

Grundsätzlich können mobile Apps, Desktop-Anwendungen, Browser-Erweiterungen und andere installierbare Software unter den CRA fallen, wenn sie im Rahmen einer kommerziellen Tätigkeit auf dem EU-Markt bereitgestellt werden und die weiteren Voraussetzungen des CRA erfüllen.

Reine Browser-SaaS-Angebote fallen grundsätzlich nicht allein deshalb unter den CRA. Stellt ein SaaS-Unternehmen jedoch zusätzlich einen installierbaren Client, eine App, eine Browser-Erweiterung oder einen Agent unter der eigenen Marke bereit, kann diese Produktkomponente betroffen sein. Die Kommission hat diese Abgrenzung in ihren Leitlinien vom 27. Juli 2026 (C(2026) 5252) mit Beispielen konkretisiert.

Auch eine selbst entwickelte Remote-Processing-Lösung kann Teil des Produkts sein, wenn das betroffene Produkt ohne sie eine seiner Funktionen nicht erfüllen könnte.

Das ist möglich. Wer ein Produkt unter dem eigenen Namen oder der eigenen Marke auf den Markt bringt, kann als Hersteller gelten – auch wenn Entwicklung oder Herstellung durch Dritte erfolgt.

Ja. Die Meldepflichten gelten auch für Produkte mit digitalen Elementen, die bereits vor dem 11. Dezember 2027 auf dem EU-Markt bereitgestellt wurden. Auch Software, die du vor Jahren ausgeliefert hast, kann eine 24-Stunden-Frist auslösen.

Meldepflichtig sind insbesondere aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit eines Produkts mit digitalen Elementen auswirken. Nicht jede gewöhnliche Schwachstelle oder IT-Störung löst automatisch eine CRA-Meldung aus.

Nein. Innerhalb von 24 Stunden ist grundsätzlich eine Frühwarnung erforderlich. Eine ausführlichere Meldung folgt innerhalb von 72 Stunden. Der Abschlussbericht folgt danach: bei einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist – bei einem schwerwiegenden Sicherheitsvorfall innerhalb eines Monats nach der 72-Stunden-Meldung.

Die Meldung wird einmalig über die von der ENISA betriebene Meldeplattform eingereicht und geht an das als Koordinator benannte CSIRT deiner EU-Hauptniederlassung sowie an die ENISA. Der Zugang läuft über einen EU-Login-Account, den du schon vorher anlegen kannst.

Nein. CRA und NIS2 haben unterschiedliche Meldewege und Anwendungsbereiche. Eine Meldung über die CRA Single Reporting Platform erfüllt nicht automatisch eine mögliche NIS2-Meldepflicht über nationale Kanäle.

Nein. ISO 27001 schafft eine starke organisatorische Grundlage für Informationssicherheit, ersetzt aber nicht die produktspezifischen Anforderungen des CRA. Bestehende Risiken, Richtlinien, Incident-Prozesse und Nachweise können jedoch teilweise weiterverwendet werden.

Aktuell unterstützt heyData Unternehmen bei der Vorbereitung und Umsetzung der Meldepflichten nach Art. 14 CRA. Das Angebot konzentriert sich auf die Anforderungen, die ab dem 11. September 2026 gelten.

Ein erweitertes Angebot für die vollständigen CRA-Anforderungen ab Dezember 2027 befindet sich in der Pilot- und Entwicklungsphase.

Die CE-Kennzeichnung und vollständige Konformitätsbewertung sind nicht Bestandteil des aktuell verfügbaren CRA-Reporting-Angebots. Die Unterstützung für die umfassenderen Anforderungen ab Dezember 2027 wird derzeit im Rahmen der Pilotphase definiert.