Ab 11. September: 24 Stunden, um eine Schwachstelle zu melden
Der Cyber Resilience Act wird operativ. Wer vernetzte Geräte in der EU verkauft, braucht ab sofort einen Meldeprozess – und eine SBOM, um überhaupt zu wissen, welche Produkte betroffen sind.
Am 11. September 2026 wird der Cyber Resilience Act zum ersten Mal praktisch relevant. Ab diesem Tag müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden – nach Artikel 14 der Verordnung (EU) 2024/2847.
Die Fristen sind knapp: Frühwarnung innerhalb von 24 Stunden, ausführliche Meldung nach 72 Stunden, Abschlussbericht nach der Behebung.
Wen es trifft
Jeden, der ein vernetzbares Produkt auf dem EU-Markt hat. Das sind nicht nur Gerätehersteller im engeren Sinn, sondern auch Maschinenbauer mit vernetzter Steuerung, Anbieter von Eigenmarken und Importeure. Auch Software, SDKs und kostenlose Anwendungen fallen darunter.
Wichtig für die Einordnung: Die vollständigen Produktanforderungen samt Konformitätsbewertung und CE-Kennzeichnung greifen erst am 11. Dezember 2027. Die Meldepflicht kommt aber vorher – und sie gilt für Produkte, die heute schon im Feld sind.
Warum 24 Stunden ein organisatorisches Problem sind
Die Frist beginnt, sobald Sie von einer aktiv ausgenutzten Schwachstelle Kenntnis erlangen. In dieser Zeit müssen Sie:
- den Hinweis überhaupt bemerken – wer liest die Meldungen, auch am Wochenende?
- beurteilen, ob es sich um einen meldepflichtigen Sachverhalt handelt,
- feststellen, welche Ihrer Produkte in welchen Softwareständen betroffen sind,
- die Meldung an die zuständige Stelle absetzen.
Schritt 3 ist der, an dem es in der Praxis scheitert. Wer keine Software-Stückliste hat, sucht in alten Build-Verzeichnissen nach der Version einer Bibliothek von vor drei Jahren. Das dauert länger als einen Tag.
Die SBOM ist die Antwort auf Schritt 3
Eine Software Bill of Materials listet alle Komponenten mit Version und Herkunft. Sinnvoll ist sie nur, wenn sie automatisch im Build entsteht – in CycloneDX oder SPDX, versioniert wie der Code selbst, und verknüpft mit der Frage, welche Seriennummer welchen Stand trägt. Das BSI beschreibt in der TR-03183 Teil 2, welche Angaben eine SBOM enthalten sollte.
Wer das hat, beantwortet die Betroffenheitsfrage in Minuten statt in Tagen – und hat gleichzeitig die Grundlage für die Konformitätsbewertung 2027 gelegt.
Nicht zu verwechseln: die RED-Anforderungen
Unabhängig vom CRA gelten seit dem 1. August 2025 Cybersicherheitsanforderungen für funkfähige Geräte über die Funkanlagenrichtlinie: Delegierte Verordnung (EU) 2022/30, nachgewiesen über die Normreihe EN 18031. Wer ein Funkprodukt neu in den Markt bringt, braucht das bereits heute – mit der Besonderheit, dass die Konformitätsvermutung Einschränkungen hat und in bestimmten Fällen eine benannte Stelle einzubeziehen ist.
Was jetzt sinnvoll ist
- Produktportfolio sichten: Welche Geräte sind vernetzbar, welche fallen unter RED, welche unter den CRA?
- Zuständigkeit festlegen: Wer bewertet einen Hinweis, wer meldet, wer vertritt im Urlaub?
- Meldewege und Vorlagen vorbereiten, bevor der Ernstfall eintritt
- SBOM für die wichtigsten Produkte erzeugen und den Supportzeitraum festlegen
- Mit Komponentenlieferanten klären, wie Sie von deren Schwachstellen erfahren
Das meiste davon ist keine Entwicklungsarbeit, sondern Prozessarbeit – und genau deshalb wird es gern liegen gelassen, bis es konkret wird.
Stand: September 2026. Quellen: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Delegierte Verordnung (EU) 2022/30, Durchführungsbeschluss (EU) 2025/138, BSI TR-03183. Technische Einordnung, keine Rechtsberatung.