Cyber Resilience Act startet – viele Unternehmen sind kaum vorbereitet

Seit 11. September 2026 gilt für Hersteller von Produkten mit digitalen Elementen eine neue Meldepflicht. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit solcher Produkte auswirken, müssen zunächst innerhalb von 24 Stunden gemeldet werden. Innerhalb von 72 Stunden folgt eine vollständige Benachrichtigung.

Kurz vor dem Start zeigte eine repräsentative Bitkom-Befragung deutliche Informationslücken. 67 Prozent der Unternehmen kennen den Cyber Resilience Act zumindest dem Namen nach. Nur 29 Prozent wissen, was er für das eigene Unternehmen bedeutet. 38 Prozent haben davon gehört, können seine Bedeutung aber nicht einschätzen. 28 Prozent kennen den CRA überhaupt nicht.

Was regelt der Cyber Resilience Act?

Der Cyber Resilience Act ist ein EU-weiter Rechtsrahmen für Hardware- und Softwareprodukte mit digitalen Elementen, die auf dem europäischen Markt angeboten werden. Dazu zählen sowohl fertige Produkte als auch separat vertriebene Komponenten. Beispiele sind etwa Betriebssysteme, Browser, Passwort-Manager, Router, Modems und Switches sowie vernetzte Geräte wie smarte Türschlösser, Sicherheitskameras oder Babyüberwachungssysteme. Ziel ist es, verbindliche Cybersicherheitsanforderungen über den Lebenszyklus solcher Produkte hinweg festzulegen.

Der CRA soll unter anderem sicherstellen, dass Hardware und Software sicher entwickelt, aktualisiert und gewartet werden. Bitkom hebt hervor, dass damit erstmals EU-weit verbindliche Mindestanforderungen für Produkte mit digitalen Funktionen gelten und „Security by Design“ zum Grundsatz wird.

Die Verordnung trat bereits am 10. Dezember 2024 in Kraft. Vollständig angewendet wird sie ab 11. Dezember 2027. Einzelne Vorgaben gelten früher, darunter seit 11. September 2026 die Meldepflichten nach Artikel 14.

Meldungen laufen über zentrale ENISA-Plattform

Für die verpflichtenden Meldungen hat ENISA eine zentrale Single Reporting Platform eingerichtet. Hersteller können darüber aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Zum Start unterstützt die Plattform zunächst die verpflichtenden Meldungen nach Artikel 14.

Auf die Frühwarnung innerhalb von 24 Stunden folgt innerhalb von 72 Stunden die vollständige Benachrichtigung. Für aktiv ausgenutzte Schwachstellen ist zusätzlich spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme ein Abschlussbericht erforderlich. Bei schweren Sicherheitsvorfällen gilt dafür eine Frist von einem Monat.

Bitkom kritisiert, dass sich Unternehmen vor dem Stichtag nicht auf der Plattform registrieren und die Meldewege erproben konnten. Der Verband sieht deshalb weiterhin Schwierigkeiten bei der praktischen Umsetzung.

Bitkom-Präsident Ralf Wintergerst bewertet den grundsätzlichen Ansatz des CRA positiv, fordert aber eine praxistaugliche Umsetzung. Höhere Sicherheitsstandards könnten aus Sicht des Verbands Unternehmen, Verbraucherinnen und Verbraucher, Lieferketten und kritische Infrastrukturen besser schützen.

Die Bitkom-Zahlen beruhen auf einer repräsentativen telefonischen Befragung von 1.003 Unternehmen in Deutschland ab zehn Beschäftigten und einem Jahresumsatz von mindestens einer Million Euro. Die Erhebung fand zwischen Kalenderwoche 16 und 23 des Jahres 2026 statt.