Cyber Resilience Act: Diese neuen Meldepflichten kommen auf betroffene Unternehmen ab September zu

Mit dem Cyber Resilience Act (Verordnung (EU) 2024/2847, im Folgenden CRA) hat der Unionsgesetzgeber horizontale und verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen geschaffen und damit einen zuvor überwiegend von freiwilligen Standards geprägten Bereich einem einheitlichen Rechtsrahmen unterstellt. Der CRA ist bereits am 10. Dezember 2024 in Kraft getreten, entfaltet seine Pflichten für Hersteller, Importeure und Händler jedoch zeitlich gestaffelt und wird erst ab dem 11. Dezember 2027 vollständig anwendbar. 

Vorgezogen ist demgegenüber ein zentraler Pflichtenkomplex: Ab dem 11. September 2026 gelten die Meldepflichten des Art. 14 CRA für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Für Unternehmen stellt sich damit die Frage, ob sie überhaupt zu den meldepflichtigen Herstellern zählen – und wenn ja, was genau zu melden ist und wie.

1. Wer ist von den neuen Meldepflichten betroffen?

Die Meldepflichten des Art. 14 CRA treffen ausschließlich Hersteller. Importeure und Händler unterliegen zwar eigenen Prüf-, Überwachungs- und Kooperationspflichten, sind aber nicht Adressat der Melde- und Frühwarnpflichten. Für die Frage der Betroffenheit ist daher zu klären, ob ein Unternehmen für ein bestimmtes Angebot als Hersteller im Sinne des CRA anzusehen ist und, ob dieses Angebot ein Produkt mit digitalen Elementen darstellt, das in den Anwendungsbereich der Verordnung fällt.

Der Herstellerbegriff folgt einem funktionalen Ansatz. Als Hersteller gilt, wer ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke im Rahmen einer Geschäftstätigkeit bereitstellt (Art. 3 Nr. 13 CRA). Erfasst werden damit nicht nur klassische Hardwareproduzenten, sondern auch reine Softwareanbieter. Praktisch bedeutsam ist ferner, dass Importeure und Händler, die ein Produkt unter eigenem Namen oder eigener Marke vertreiben oder ein bereits in Verkehr gebrachtes Produkt wesentlich verändern, nach Art. 21 CRA selbst als Hersteller gelten und damit auch den Meldepflichten unterliegen. Die Selbsteinordnung eines Unternehmens als bloßer Wiederverkäufer schützt insoweit nicht vor der Herstellerrolle (wir berichteten in Datenschutzupdate Nr. 243).

Maßgeblich für die Betroffenheit ist sodann der Begriff des Produkts mit digitalen Elementen. Nach Art. 3 Nr. 1 CRA handelt es sich hierbei um ein Software- oder Hardwareprodukt einschließlich seiner Datenfernverarbeitungslösungen, sofern die bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz umfasst. Der Anwendungsbereich ist damit weit und reicht von eingebetteter Software in vernetzten Geräten über eigenständige Software bis hin zu standalone-Hardware. Die am 27. Juli 2026 veröffentlichte Leitlinie der Europäischen Kommission zur Anwendung des CRA (Mitteilung C(2026) 5252) konkretisiert den Anwendungsbereich an zahlreichen Stellen und ist für die Einordnung im Einzelfall eine wesentliche Orientierungshilfe – jedoch nicht rechtlich bindend.

Typischerweise betroffen sind zunächst Hersteller vernetzter Hardware. Hierzu zählen etwa Anbieter von IoT- und Smart-Home-Geräten wie vernetzten Thermostaten, Kameras oder Haushaltsgeräten, aber auch Produzenten im Maschinen- und Anlagenbau, deren Erzeugnisse vernetzte Steuerungen oder Kommunikationsmodule enthalten. Auch industrielle Steuerungssysteme, Netzwerkkomponenten wie Router und die zugehörige eingebettete Software fallen regelmäßig in den Anwendungsbereich. Der CRA knüpft dabei nicht an das bloße Vorhandensein von Elektronik an, sondern an die Fähigkeit des Produkts, digital kommunizierte Daten auszutauschen. Ein Erzeugnis, dessen elektrische Signale lediglich eine Funktion auslösen oder mit Energie versorgen, ohne digital codierte Informationen zu übertragen, begründet für sich genommen noch keine Datenverbindung.

Erfasst wird daneben eigenständige Software. Die Kommissions-Leitlinie stellt insoweit ein praktisch wichtiges Abgrenzungskriterium heraus: Software fällt in den Anwendungsbereich, wenn sie dem Nutzer bereitgestellt und auf dessen Informationssystem ausgeführt wird. Das ist etwa bei einer aus einem App-Store heruntergeladenen und auf dem Endgerät installierten Anwendung oder bei einer lokal installierten Desktop-Anwendung der Fall, auch wenn diese mit Webtechnologien entwickelt wurde. Demgegenüber ist Software, die ausschließlich entfernt ausgeführt und vom Nutzer lediglich über einen Browser aufgerufen wird, nach der Leitlinie für sich genommen kein Produkt mit digitalen Elementen. Dies betrifft insbesondere reine Web- und SaaS-Anwendungen sowie Websites, die nur Informationen bereitstellen. Solche Angebote fallen nur dann in den Anwendungsbereich, wenn sie die Funktion eines Produkts mit digitalen Elementen unterstützen und damit als Datenfernverarbeitungslösung zu qualifizieren sind. 

Ein unterschätzter Anwendungsfall betrifft Produkte, die aus Hardware und separat bereitgestellter Software bestehen. Nach der Kommissions-Leitlinie bilden Hardware und Software ein einheitliches Produkt mit digitalen Elementen, wenn die Software für die bestimmungsgemäße Funktion der Hardware erforderlich ist, und zwar auch dann, wenn sie über einen gesonderten Kanal wie eine App oder einen Download bezogen wird. Ein vernetzter Drucker mit den zur Ansteuerung erforderlichen Treibern oder ein Fitness-Wearable, das erst mit der zugehörigen Smartphone-Anwendung seine Funktion erfüllt, sind daher jeweils als ein Produkt zu betrachten. Für Hersteller solcher Kombinationen bedeutet dies, dass sich die Meldepflicht auf das Zusammenspiel von Gerät und begleitender Software erstreckt.

Für freie und quelloffene Software (Free and Open-Source Software, FOSS) ergeben sich Besonderheiten aus den Erwägungsgründen 15, 18 und 19 des CRA sowie aus der Kommissions-Leitlinie. Deren bloße Veröffentlichung stellt für sich genommen kein Inverkehrbringen dar. Erfasst wird FOSS nur, wenn sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird, etwa gegen Entgelt, durch Monetarisierung anderer Dienste über die Software oder durch an eine Spende geknüpften Zugang.

Vollständig ausgenommen sind demgegenüber Produkte, die bereits bestimmten anderen sektoralen Unionsregelungen mit Cybersicherheitsbezug unterliegen. Nach Art. 2 Abs. 2 CRA findet die Verordnung insbesondere keine Anwendung auf Produkte, für die die Regelungen über Kraftfahrzeuge (Verordnung (EU) 2019/2144) oder bestimmte Fahrzeugklassen (Verordnung (EU) Nr. 168/2013) gelten. Nach der Kommissions-Leitlinie erstreckt sich dies auf ausschließlich zum Einbau in solche Fahrzeuge bestimmte Komponenten, während generische Bauteile, die auch außerhalb der Lieferkette über allgemein zugängliche Vertriebswege angeboten werden, weiterhin dem CRA unterfallen. Für weitere Produktgruppen wie Medizinprodukte bestehen eigene sektorale Sonderregime, die eine gesonderte Prüfung erfordern.

Der zeitliche Anwendungsbereich der Meldepflicht reicht schließlich weiter, als es der Stichtag der vollständigen Anwendbarkeit vermuten ließe. Nach Art. 69 Abs. 3 CRA erstreckt sich die Pflicht des Art. 14 CRA auf alle in den Anwendungsbereich fallenden Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 auf dem Unionsmarkt bereitgestellt wurden. Für die Meldepflicht kommt es damit auf den im Markt befindlichen Bestand an, unabhängig davon, ob das betreffende Produkt jemals den ab Dezember 2027 geltenden Produktanforderungen oder einer CE-Kennzeichnung unterliegt. 

2. Meldeverfahren nach Art. 14 CRA 

Art. 14 CRA verpflichtet Hersteller zur Meldung zweier Ereignistypen: aktiv ausgenutzter Schwachstellen, die in einem Produkt mit digitalen Elementen enthalten sind (Art. 14 Abs. 1 CRA) und schwerwiegender Sicherheitsvorfälle, die sich auf die Sicherheit eines solchen Produkts auswirken (Art. 14 Abs. 3 CRA). Ein Vorfall gilt nach Art. 14 Abs. 5 CRA als schwerwiegend, wenn er die Fähigkeit des Produkts, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, negativ beeinträchtigt oder beeinträchtigen kann, oder wenn er zur Einführung oder Ausführung von Schadcode geführt hat oder führen kann. Beide Tatbestände sind enger gefasst, als es zunächst erscheint, da nicht jede bekannte Schwachstelle erfasst wird, sondern nur deren tatsächlich aktive Ausnutzung.

Die Meldung erfolgt gestuft. Nach Art. 14 Abs. 2 und 4 CRA ist zunächst binnen 24 Stunden nach Kenntniserlangung eine Frühwarnung abzugeben, innerhalb von 72 Stunden folgt eine Schwachstellen- beziehungsweise Vorfallmeldung mit näheren Angaben zu Art, Auswirkungen und ergriffenen Maßnahmen. Der Abschlussbericht ist bei aktiv ausgenutzten Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme vorzulegen, bei schwerwiegenden Sicherheitsvorfällen hingegen innerhalb eines Monats nach der 72-Stunden-Meldung. 

Für den Fristbeginn kommt es auf die Kenntniserlangung an. Nach der Kommissions-Leitlinie liegt Kenntnis nicht bereits mit dem ersten Verdacht vor, sondern erst, wenn der Hersteller nach einer ersten Bewertung mit hinreichender Sicherheit von einer aktiven Ausnutzung beziehungsweise einer Beeinträchtigung der Produktsicherheit ausgehen kann. Zugleich betont die Leitlinie, dass diese Bewertung zügig vorzunehmen ist und der Fristbeginn nicht durch eine hinausgezögerte Prüfung verschoben werden darf.

Adressaten sind zwei Stellen zugleich, nämlich das als Koordinator benannte CSIRT und die ENISA (Art. 14 Abs. 1 und 3 CRA). Die Übermittlung erfolgt über die nach Art. 16 CRA eingerichtete einheitliche Meldeplattform (Single Reporting Platform), die von der ENISA betrieben wird. Die Plattform befindet sich derzeit noch in der Testphase und soll zum 11. September 2026 einsatzbereit sein. Das örtlich zuständige CSIRT richtet sich nach Art. 14 Abs. 7 CRA grundsätzlich nach der Hauptniederlassung des Herstellers, das heißt nach dem Mitgliedstaat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend getroffen werden. Die förmliche Benennung der CSIRTs durch die Mitgliedstaaten steht noch aus. In Deutschland soll das beim BSI angesiedelte CERT-Bund diese Rolle übernehmen. Für Hersteller ohne Niederlassung in der Union gilt eine gestufte Ersatzanknüpfung. Die Bestimmung des zuständigen CSIRT und die vorherige Registrierung auf der Plattform sollten frühzeitig geklärt werden, da eine Meldung innerhalb von 24 Stunden andernfalls praktisch nicht gelingt.

Daneben besteht nach Art. 14 Abs. 8 CRA eine eigenständige Pflicht, die betroffenen und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall sowie mögliche Abhilfemaßnahmen zu unterrichten. Nach der Kommissions-Leitlinie ist diese Information risikobasiert zu handhaben und erfordert nicht zwingend eine öffentliche Bekanntmachung, da eine vorschnelle Offenlegung technischer Details das Risiko gerade bei sensiblen Einsatzumgebungen erhöhen kann. Kommt der Hersteller seiner Informationspflicht nicht rechtzeitig nach, können die CSIRTs die Nutzer selbst unterrichten.

Die näheren Modalitäten der behördlichen Weiterverbreitung regelt die Delegierte Verordnung (EU) 2026/881. Sie legt fest, unter welchen Voraussetzungen das zunächst befasste CSIRT die Verbreitung einer Meldung an die weiteren zuständigen CSIRTs vorübergehend aufschieben darf, etwa wenn kurzfristig ein Patch bereitgestellt werden soll oder ein Verfahren der koordinierten Offenlegung noch läuft. Schließlich ist zu beachten, dass eine Meldung nach Art. 14 CRA andere Meldepflichten nicht ersetzt. Da dieselbe Ursache zugleich Pflichten nach der NIS-2-Richtlinie oder nach Art. 33 DSGVO auslösen kann, sollten die jeweiligen Anknüpfungspunkte im Vorfeld geklärt werden.

3. Handlungsempfehlungen für Hersteller

• Herstellerrolle und Produktbestand bestimmen: In einem ersten Schritt sollte für jedes Produkt festgehalten werden, ob das Unternehmen insoweit Hersteller im Sinne des CRA ist, auch in den Fällen des Eigenmarkenvertriebs oder der wesentlichen Veränderung nach Art. 21 CRA. Da sich die Meldepflicht nach Art. 69 Abs. 3 CRA auf den vor dem 11. Dezember 2027 bereitgestellten Marktbestand erstreckt, ist dabei nicht nur das aktuelle Portfolio, sondern auch das noch im Markt befindliche Altgeschäft einzubeziehen. Grundlage hierfür ist eine Software Bill of Materials (SBOM) je Produkt, ohne die sich nicht verlässlich beurteilen lässt, ob eine öffentlich bekannt gewordene Schwachstelle das eigene Produkt betrifft.
• Zuständiges CSIRT feststellen und Plattformzugang einrichten: Anhand der Hauptniederlassung nach Art. 14 Abs. 7 CRA ist das als Koordinator zuständige CSIRT zu bestimmen und der Zugang zur einheitlichen Meldeplattform vorab einzurichten und zu testen. Wer erst im Ereignisfall mit der Registrierung beginnt, kann die 24-Stunden-Frist regelmäßig nicht wahren.
• Interne Entscheidungskette vor dem Ernstfall festlegen: Für die 24-Stunden-Frist ist die interne Bewertungs- und Freigabekette der entscheidende Punkt. Festzulegen sind insbesondere, wer eingehende Hinweise sichtet und die für den Fristbeginn maßgebliche Erstbewertung vornimmt, nach welchen Kriterien eine aktive Ausnutzung oder ein schwerwiegender Vorfall im Sinne des Art. 14 Abs. 5 CRA bejaht wird und wer die Meldung freigibt. Weil aktiv ausgenutzte Schwachstellen und Vorfälle nicht an Geschäftszeiten gebunden sind, muss diese Kette auch außerhalb der üblichen Arbeitszeiten erreichbar und entscheidungsfähig sein.
• Schnittstellen zu weiteren Meldepflichten und zur Lieferkette klären: Da dieselbe Ursache zugleich Meldepflichten nach der NIS-2-Richtlinie oder nach Art. 33 DSGVO auslösen kann, sollten diese Verfahren mit der CRA-Meldung abgestimmt und die jeweils maßgeblichen Fristen und Adressaten vorab zugeordnet werden. In Lieferverträgen sollten zudem Informations- und Meldeobliegenheiten zu Schwachstellen in zugelieferten Komponenten vorgesehen werden, damit der Hersteller die Meldung nach Art. 14 CRA und die Pflichten zum Reporting an den Komponentenhersteller nach Art. 13 Abs. 6 CRA fristgerecht erfüllen kann.

4. Fazit und Ausblick 

Mit den Meldepflichten des Art. 14 CRA wird zum 11. September 2026 der erste Pflichtenkomplex des CRA wirksam und zwar bereits deutlich vor der vollständigen Anwendbarkeit der Verordnung. Für Hersteller liegt die eigentliche Herausforderung weniger in der technischen Erkennung von Schwachstellen und Vorfällen als in der Organisation. Die kurze Frühwarnfrist von 24 Stunden lässt sich nur einhalten, wenn Herstellerrolle, Produktbestand, zuständiges CSIRT, Plattformzugang und interne Entscheidungswege vorab geklärt sind. Da die Pflicht nach Art. 69 Abs. 3 CRA auch den bereits im Markt befindlichen Bestand erfasst, betrifft dies nicht nur künftige, sondern auch bereits in Verkehr gebrachte Produkte.

Zugleich bleibt die Rechtslage in Bewegung. Die Kommissions-Leitlinie vom 27. Juli 2026 klärt zentrale Auslegungsfragen, ist aber rechtlich nicht bindend und schließt eine spätere Konkretisierung durch weitere Leitlinien, harmonisierte Normen und die Praxis der Marktüberwachungsbehörden nicht aus. Die Melde- und Reaktionsprozesse sollten daher nicht isoliert umgesetzt, sondern von Anfang an in die CRA-Compliance insgesamt eingebettet werden.

Dieser Beitrag wurde in Zusammenarbeit mit unserer stud. Mitarbeiterin Emily Bernklau erstellt.