Beratung anfragen

Ratgeber · IT-Sicherheit

Cyber Resilience Act: Was am 11. September beginnt

In wenigen Tagen greift die erste harte Pflicht aus dem Cyber Resilience Act: Wer ein Produkt mit digitalen Elementen herstellt, muss aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden. Anders als bei NIS-2 spielt die Unternehmensgröße dabei keine Rolle – erfasst ist auch der Betrieb mit zwölf Beschäftigten.

Von Dipl.-Ing. Mohamed Khater, Gründer und Geschäftsführer, seit 1992 · · 9 Minuten Lesezeit

Warum diese Verordnung viele überrascht

Der Cyber Resilience Act – Verordnung (EU) 2024/2847 – ist am 11. Dezember 2024 in Kraft getreten. Weil die volle Geltung erst am 11. Dezember 2027 beginnt, hat ihn im Mittelstand kaum jemand auf der Uhr. Übersehen wird dabei der vorgezogene Termin: Die Meldepflichten nach Artikel 14 gelten bereits ab dem 11. September 2026.

Der zweite Grund für die Überraschung ist der Zuschnitt. NIS-2 knüpft an Sektor und Größe an, der CRA an das Produkt. Wer Maschinen mit Steuerung baut, Messgeräte herstellt, Elektronik fertigt oder Software entwickelt, ist erfasst – unabhängig davon, wie viele Menschen im Betrieb arbeiten. Eine Schwelle wie bei NIS-2 gibt es nicht.

Auch der Kreis der Verpflichteten ist weiter, als der Begriff „Hersteller“ vermuten lässt. Wer fremde Software unter eigenem Namen vertreibt oder ein zugekauftes Produkt wesentlich verändert, gilt selbst als Hersteller. Einführer und Händler haben eigene Prüfpflichten.

Werkzeug

Sind wir betroffen? Prüfung in vier Schritten

Eine erste Einordnung in unter einer Minute. Die Auswertung läuft in Ihrem Browser – es wird nichts übertragen und nichts gespeichert.

1 Welche Rolle haben Sie bei dem Produkt?

Auch wer fremde Software unter eigenem Namen vertreibt oder ein Produkt wesentlich verändert, gilt als Hersteller.

2 Enthält das Produkt digitale Elemente?

Software, Firmware oder eingebettete Steuerung – eigenständig oder in einem Gerät.

3 Kann das Produkt Daten mit einem Gerät oder Netz austauschen?

Unmittelbar oder mittelbar – Netzwerk, WLAN, Bluetooth, USB, Wartungsschnittstelle, Cloud-Anbindung.

4 Gilt für das Produkt bereits eine eigene Regelung?

Medizinprodukte, Fahrzeuge, Luftfahrt und einige weitere Bereiche sind ausgenommen, weil dort eigene Vorschriften greifen. Reine Dienste ohne ausgeliefertes Produkt fallen ebenfalls nicht darunter.

Ergebnis

Beantworten Sie die vier Fragen, um eine erste Einordnung zu erhalten.

Diese Prüfung ist eine Orientierung, keine Rechtsberatung. Die Einordnung eines konkreten Produkts – besonders die Abgrenzung zu vorrangigen Vorschriften und die Zuordnung zu einer Produktklasse – gehört in fachkundige Hände. Maßgeblich ist der Text der Verordnung (EU) 2024/2847.

Artikel 14

Die dreistufige Meldekette

Gemeldet werden zwei Ereignisse: aktiv ausgenutzte Schwachstellen im eigenen Produkt und schwerwiegende Sicherheitsvorfälle, die dessen Sicherheit beeinträchtigen. Beide durchlaufen dieselben ersten zwei Stufen.

  • Frühwarnung binnen 24 Stunden. Wenige Angaben: Art der Meldung, Hersteller, Produkt, ein Titel und die Mitgliedstaaten, in denen das Produkt bereitgestellt wurde. Bei Vorfällen zusätzlich, ob ein böswilliger Akt im Spiel ist.
  • Meldung binnen 72 Stunden. Baut auf der Frühwarnung auf: Art der Schwachstelle, Art der Ausnutzung, ergriffene Gegenmaßnahmen und was Anwender selbst tun können.
  • Abschlussbericht – mit zwei verschiedenen Auslösern. Bei einer Schwachstelle binnen 14 Tagen ab dem Zeitpunkt, zu dem eine Abhilfe zur Verfügung steht. Bei einem schwerwiegenden Vorfall binnen eines Monats ab der 72-Stunden-Meldung. Wer beide Fälle über dasselbe Formular abwickelt, rechnet eine der beiden Fristen zwangsläufig falsch.
  • Ein Meldeweg für alles. Die Meldungen laufen über die einheitliche Meldeplattform der ENISA und gehen zugleich an das koordinierende nationale CSIRT – in Deutschland beim BSI – und an die ENISA.

Werkzeug

Fristenrechner nach Artikel 14

Tragen Sie den Zeitpunkt der Kenntnisnahme ein. Der Rechner nennt die drei Termine – und unterscheidet dabei die beiden Auslöser des Abschlussberichts.

1 Wann haben Sie Kenntnis erlangt?

Der Zeitpunkt, zu dem belastbare Hinweise vorlagen – nicht der Zeitpunkt der internen Bestätigung.

2 Worum geht es?

Ihre Fristen

Tragen Sie Zeitpunkt und Art ein, um die Fristen zu berechnen.

Die Berechnung folgt Artikel 14 der Verordnung (EU) 2024/2847 und ersetzt keine rechtliche Prüfung des Einzelfalls. Alle Angaben in Ihrer örtlichen Zeit.

Was kleine Hersteller wissen sollten

Der Bußgeldrahmen für Verstöße gegen die Meldepflicht liegt bei bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes – der höhere Betrag zählt. Das ist die oberste Stufe der Verordnung, auf einer Ebene mit Verstößen gegen die grundlegenden Sicherheitsanforderungen.

Für Kleinst- und Kleinunternehmen gibt es genau eine Erleichterung, und sie ist enger, als sie zunächst klingt: Bußgelder wegen Versäumnis der 24-Stunden-Frühwarnung sind ausgenommen. Die Meldepflicht selbst besteht fort, ebenso die 72-Stunden-Meldung und der Abschlussbericht – und für diese gilt die Ausnahme nicht.

Praktisch heißt das: Auch ein kleiner Betrieb braucht einen benannten Verantwortlichen, einen dokumentierten Zeitpunkt der Kenntnisnahme und einen Zugang zur Meldeplattform. Wer erst nach dem Vorfall anfängt, das zu klären, hat die erste Frist bereits verpasst.

Eine Einzelheit wird oft übersehen: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen zwar nicht allen späteren Anforderungen – von den Meldepflichten des Artikels 14 werden sie ab dem 11. September 2026 aber erfasst. Ihr Bestand an ausgelieferten Geräten ist also nicht ausgenommen.

In den nächsten Wochen

Was jetzt vorzubereiten ist

Die Meldefähigkeit ist der Teil, der bis zum 11. September stehen muss. Alles Weitere hat bis Dezember 2027 Zeit.

  1. Produktliste anlegen

    Welche Produkte mit digitalen Elementen haben Sie im Markt, in welchen Versionen, seit wann, in welchen Ländern? Ohne diese Liste lässt sich schon die Frühwarnung nicht ausfüllen.

  2. Verantwortlichen benennen

    Eine Person mit Vertretung, erreichbar auch außerhalb der Geschäftszeiten. Die 24-Stunden-Frist kennt keine Wochenenden.

  3. Zeitpunkt der Kenntnisnahme festhalten

    Ein einfaches Protokoll genügt: Wer hat wann wovon erfahren. Dieser Zeitpunkt startet alle drei Fristen und ist im Streitfall das entscheidende Dokument.

  4. Meldeweg einrichten und einmal proben

    Zugang zur Meldeplattform klären und den Ablauf einmal trocken durchspielen. Der erste echte Fall ist der falsche Zeitpunkt, um die Anmeldung zu suchen.

  5. Software-Stückliste aufbauen

    Die SBOM ist ohnehin gefordert und zugleich das Rückgrat der Meldefähigkeit: Ohne maschinenlesbares Wissen darüber, welche Komponente in welcher Produktversion steckt, wird schon die 72-Stunden-Meldung zur Suchaktion.

  6. Supportzeitraum festlegen

    Wie lange versorgen Sie ein Produkt mit Sicherheitsupdates? Diese Zusage wird verbindlich und gehört ab Dezember 2027 in die Produktinformation.

Was wir übernehmen können – und was nicht

Damit hier keine falschen Erwartungen entstehen: Der CRA ist Produktrecht. Ein Teil davon ist eine technische Aufgabe, ein anderer nicht.

  • Können wir: Schwachstellenüberwachung der eingesetzten Komponenten, Aufbau und Pflege der Software-Stückliste, Update- und Patch-Prozesse, Absicherung der Entwicklungs- und Bauumgebung, technische Dokumentation, Meldewege und Protokollierung, geprüfte Wiederherstellung.
  • Können wir nicht: die Konformitätsbewertung, die CE-Kennzeichnung, die rechtliche Einordnung Ihres Produkts in eine Produktklasse und die Abgrenzung zu vorrangigen Vorschriften. Dafür brauchen Sie eine benannte Stelle beziehungsweise fachkundige Rechtsberatung.
  • Warum wir das Thema kennen: INFONET entwickelt selbst Software und steht damit auf derselben Seite wie Sie. Wir bauen diese Prozesse gerade im eigenen Haus auf, nicht nur auf dem Papier.

Häufige Fragen

Was uns dazu oft gefragt wird

Wir haben nur 15 Mitarbeiter. Betrifft uns das wirklich?
Ja. Anders als NIS-2 kennt der Cyber Resilience Act keine Größenschwelle. Wer ein Produkt mit digitalen Elementen herstellt, das Daten mit einem Gerät oder Netz austauschen kann, ist erfasst. Für Kleinst- und Kleinunternehmen gibt es lediglich eine Erleichterung beim Bußgeld für die versäumte 24-Stunden-Frühwarnung – die Pflicht selbst bleibt.
Wir stellen keine Produkte her, wir setzen sie nur ein. Und dann?
Dann haben Sie keine eigenen Pflichten aus dem CRA. Sie werden ihn trotzdem merken: Ihre Lieferanten müssen künftig einen Supportzeitraum zusagen, Sicherheitsupdates bereitstellen und behobene Schwachstellen offenlegen. Fragen Sie bei der nächsten Beschaffung ausdrücklich danach – und bei bestehenden Geräten, wie lange sie noch versorgt werden.
Wir kaufen Software zu und verkaufen sie unter unserem Namen. Sind wir Hersteller?
In aller Regel ja. Wer ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt, gilt als Hersteller – ebenso, wer ein zugekauftes Produkt wesentlich verändert. Das ist einer der häufigsten Irrtümer bei dieser Verordnung.
Was zählt als „aktiv ausgenutzt“?
Es braucht belastbare Hinweise darauf, dass jemand die Lücke tatsächlich ohne Erlaubnis ausnutzt. Eine gemeldete Schwachstelle ohne Anzeichen einer Ausnutzung löst die Meldepflicht nicht aus, ebenso wenig ein Fund aus einem gutgläubigen Sicherheitstest. Die Grenze ist im Einzelfall unscharf – im Zweifel sollten Sie sie fachlich klären lassen, nicht selbst großzügig auslegen.
Gilt der CRA auch für unsere Cloud-Anwendung?
Ein reiner Dienst ohne ausgeliefertes Produkt fällt nicht darunter. Sobald aber Software beim Kunden installiert wird oder eine Datenverarbeitung fester Bestandteil eines ausgelieferten Produkts ist, ändert sich die Einordnung. Für Anbieter von Diensten greifen ohnehin eher NIS-2 und die DSGVO.
Reicht es, wenn wir das bis Dezember 2027 erledigen?
Nein. Die Meldepflichten gelten seit dem 11. September 2026, und sie erfassen auch Produkte, die längst ausgeliefert sind. Was bis Dezember 2027 Zeit hat, sind die Konformitätsbewertung, die CE-Kennzeichnung und die vollständigen Anforderungen an neue Produkte.

Dipl.-Ing. Mohamed Khater

Dipl.-Ing. Mohamed Khater hat die INFONET Computer GmbH 1992 in Köln gegründet und führt sie bis heute als Inhaber. INFONET entwickelt selbst Software und ist damit von derselben Verordnung erfasst – die hier beschriebenen Prozesse entstehen gerade auch im eigenen Haus.

Weiterlesen

Vor dem 11. September

Meldefähig in einer Woche.

Produktliste, Verantwortlicher, Protokoll der Kenntnisnahme, Zugang zur Meldeplattform: Den technischen Teil bekommen wir in wenigen Tagen gemeinsam aufgesetzt. Rufen Sie an, solange noch Zeit ist.

Anfrage senden 0221 984300-0 anrufen

0221 984300-0Zentrale und Support-Hotline

[email protected]Antwort innerhalb von 4 Stunden an Werktagen

Robert-Perthel-Straße 7250739 Köln – Bilderstöckchen

Mo–Fr 09:00–18:00 UhrNotfallsupport nach Vereinbarung auch außerhalb