Cyber Resilience Act: Meldepflicht für Schwachstellen ab 11. September

Am 11. September 2026 wird die erste verbindliche Stufe der EU-Cyberresilienz-Verordnung (Verordnung (EU) 2024/2847, kurz Cyber Resilience Act) wirksam. Ab diesem Datum müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die die Sicherheit von Produkten mit digitalen Elementen betreffen. Für Unternehmen, die vernetzte Geräte, Elektronik oder softwaregestützte Komponenten aus China beziehen, ist das der erste Termin im CRA-Fahrplan mit unmittelbarer Sanktionswirkung.

24 Stunden, 72 Stunden, 14 Tage

Die Verordnung setzt ein dreistufiges Meldeschema: Eine Frühwarnung ist innerhalb von 24 Stunden nach Kenntnisnahme abzugeben, eine vollständige Meldung innerhalb von 72 Stunden. Der Abschlussbericht folgt spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme bei aktiv ausgenutzten Schwachstellen, bei schwerwiegenden Vorfällen innerhalb eines Monats.

Der Anwendungsbereich reicht weiter, als viele Beschaffungsabteilungen erwarten. Die Meldepflichten erfassen sämtliche Produkte mit digitalen Elementen, die auf dem Unionsmarkt bereitgestellt wurden, einschließlich solcher, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht worden sind. Bestandssortimente aus laufenden Importprogrammen sind also nicht ausgenommen. Die übrigen CRA-Anforderungen samt CE-Kennzeichnung mit Cybersicherheitsbezug greifen erst zum 11. Dezember 2027.

Meldeweg läuft über die ENISA-Plattform

Gemeldet wird zentral über die CRA Single Reporting Platform (SRP). Die Meldung geht an das nationale CSIRT am Ort der Hauptniederlassung und wird gleichzeitig der EU-Agentur für Cybersicherheit (ENISA) zugänglich gemacht. Maßgeblich ist dabei der Ort der Hauptniederlassung, bei Unternehmen ohne Niederlassung in der EU der Sitz des Bevollmächtigten. Die Plattform soll zum 11. September 2026 betriebsbereit sein; ENISA hat im August 2026 Anleitungen zur Nutzerregistrierung und zur Meldungseinreichung aktualisiert und kündigt ein Webinar zwei Wochen vor Inbetriebnahme an.

Am 27. Juli 2026 hat die EU-Kommission eine praxisorientierte, rechtlich nicht bindende Auslegungshilfe zum CRA veröffentlicht, deren Abschnitt 9.1 die Meldepflichten erläutert. In Deutschland setzt der Entwurf des Durchführungsgesetzes die EU-Vorgaben im Wesentlichen eins zu eins um und sieht das BSI als zentrale Marktüberwachungsbehörde und notifizierende Behörde vor.

Eigenmarken bringen die Herstellerrolle mit

Besonders relevant ist die Rollenzuordnung. Als Hersteller gilt auch, wer Produkte mit digitalen Elementen entwerfen, entwickeln oder herstellen lässt und sie unter eigenem Namen oder eigener Marke vermarktet. Wer also in Fernost fertigen lässt und unter eigenem Label vertreibt, trägt die Meldepflicht selbst. Größenbezogene Ausnahmen sieht die Verordnung nicht vor. Reine Einführer haben abgestufte Pflichten, darunter das Bereithalten der EU-Konformitätserklärung über zehn Jahre sowie Informationspflichten gegenüber Hersteller und Marktüberwachung. Bei Verstößen gegen grundlegende Anforderungen oder Meldepflichten sind Bußgelder bis zu 2,5 Prozent des weltweiten Jahresumsatzes möglich.

Was das für deutsche Importeure bedeutet

Die 24-Stunden-Frist ist operativ die eigentliche Hürde. Sie lässt sich nur einhalten, wenn intern eine benannte Zuständigkeit samt Vertretung existiert und wenn der chinesische Fertigungspartner Sicherheitsinformationen ohne Zeitverzug weitergibt. Sinnvoll ist deshalb, Meldewege, technische Ansprechpartner und Reaktionszeiten vertraglich zu fixieren, bevor der erste Vorfall eintritt, und die Registrierung in der SRP nicht erst im Ernstfall anzugehen.

Klären Sie zunächst, welche Ihrer Artikel überhaupt als Produkte mit digitalen Elementen gelten und welche Rolle Sie je Warengruppe einnehmen. Die DIHK empfiehlt Unternehmen, Zuständigkeiten früh festzulegen und Prozesse für das Schwachstellen- und Vorfallmanagement zu strukturieren. Für Auslegungsfragen sind das BSI, die EU-Kommission und die IHK-Organisation die zuständigen Anlaufstellen.