--- title: "Die Meldepflicht des Cyber Resilience Act ist in Kraft. Bei den meisten Herstellern sind die Prozesse noch reines Theater. | Guardian360" description: "Die Meldepflicht des Cyber Resilience Act ist am 11. September 2026 in Kraft getreten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb von 24 Stunden melden. Umfragedaten zeigen ein hohes Bewusstsein, aber eine geringe Vorbereitung. Was Sie melden müssen, für wen die Pflicht gilt und wie eine echte Vorbereitung wirklich aussieht." url: https://guardian360.net/de/blog/cra-reporting-duty-is-live/ locale: de source: guardian360.net --- [← Alle Beiträge](https://guardian360.net/de/blog/) Meinung # Die Meldepflicht des Cyber Resilience Act ist in Kraft. Bei den meisten Herstellern sind die Prozesse noch reines Theater. Von Jan Martijn Broekhof · 11. September 2026 Heute, am 11. September 2026, tritt die Meldepflicht des Cyber Resilience Act in der gesamten Europäischen Union in Kraft. Nicht im Dezember 2027, wenn die wesentlichen Produktanforderungen greifen und allen gesagt wurde, dann sei mit der wirklichen Abrechnung zu rechnen. Heute. Wenn Sie ein Produkt mit digitalen Elementen herstellen und in die EU verkaufen, beginnt ab diesem Zeitpunkt die Uhr für Ihre erste Meldung zu laufen, ob Ihre Organisation sich das Datum vorgemerkt hat oder nicht. Ich habe im Juli geschrieben, dass der Cyber Resilience Act die Verordnung war, die niemand genau genug im Blick hatte, diejenige, die ein Produkt vom Markt nehmen kann, statt nur das Unternehmen dahinter mit einer Geldbuße zu belegen. Jener Beitrag konzentrierte sich auf das große Compliance-Bild: Anwendungsbereich, Kategorisierung, das Verhältnis zu NIS2. In diesem geht es um die deutlich engere, deutlich schärfere Pflicht, die gerade in Kraft getreten ist, und um die unangenehme Lücke zwischen der Zahl der Hersteller, die sagen, sie kennen sie, und der Zahl derer, die tatsächlich innerhalb der Stunden handeln können, die das Gesetz gewährt. ## Das Datum, das niemand im Blick hatte Der Großteil der Berichterstattung über den CRA kreist noch immer um den Dezember 2027, und das verständlicherweise, denn dann gelten die wesentlichen Cybersicherheitsanforderungen und die Pflichten zur Konformitätsbewertung in vollem Umfang. Doch Artikel 14 der Verordnung hat ein gesondertes, früheres Datum eigens für die Meldung herausgearbeitet: Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, die ihre Produkte betreffen, und diese Pflicht gilt für bereits auf dem Markt befindliche Produkte, nicht nur für neue Markteinführungen. Die Europäische Kommission hat ihre praktischen Leitlinien hierzu am 27. Juli 2026 veröffentlicht, nur wenige Wochen bevor das Datum in Kraft trat. Das ist ein enges Zeitfenster für eine Pflicht, an der eine 24-Stunden-Frist für die erste Meldung hängt. Die wesentlichen Anforderungen im Dezember 2027 geben den Herstellern von diesem Zeitpunkt an rund fünfzehn Monate Vorlauf. Die Meldepflicht gab weit weniger. ## Was genau müssen Sie melden? Das ist die Frage, an der sich viele verheddern, und es lohnt sich, sie präzise statt allgemein zu beantworten. Sie melden eine aktiv ausgenutzte Schwachstelle, das heißt, es gibt glaubwürdige Belege dafür, dass gerade jetzt jemand sie gegen Ihr Produkt einsetzt. Sie melden einen schwerwiegenden Vorfall, das heißt etwas, das die Sicherheit Ihres Produkts tatsächlich beeinträchtigt, nicht bloß eine theoretische Schwäche. Was Sie nicht melden, ist jede CVE, die Ihrer Codebasis zugewiesen wird, jeder Fund aus Ihrem eigenen Penetrationstest oder jede Einreichung über Ihr Responsible-Disclosure-Programm oder Bug-Bounty, sofern es keine Belege dafür gibt, dass sie tatsächlich ausgenutzt wurde. Das Webinar, das das niederländische Ministerium für Wirtschaft und Klimapolitik und das National Cyber Security Centre (NCSC) am 27. August durchgeführt haben, war in Bezug auf diese Unterscheidung unmissverständlich, und das aus gutem Grund: Ohne sie würden Hersteller ihr nationales CSIRT entweder in Lärm ertränken oder, schlimmer noch, davon ausgehen, dass jede Schwachstellenmeldung dieselbe 24-Stunden-Dringlichkeit erfordert, und damit das Team ausbrennen, das eigentlich die wichtigen Fälle bearbeiten soll. Sie können die Fälle geringerer Schwere weiterhin freiwillig melden, und es gibt gute Gründe, sich diese Gewohnheit anzueignen. Doch die gesetzliche Pflicht bezieht sich speziell auf aktive Ausnutzung und schwerwiegende Vorfälle, und zu wissen, wo diese Grenze verläuft, ist das Erste, was Ihr Incident-Response-Prozess richtig hinbekommen muss. ## Die Uhr hält nicht für Ihr Incident-Response-Meeting an Sobald Sie es wissen, ist der Zeitplan gestaffelt und unerbittlich. Eine Frühwarnung geht innerhalb von 24 Stunden ab Kenntniserlangung hinaus. Eine ausführlichere Meldung folgt innerhalb von 72 Stunden und deckt ab, was Sie bis dahin über Art, Auswirkungen und mildernde Maßnahmen wissen. Ein Abschlussbericht schließt den Vorgang ab: vierzehn Tage nachdem eine Korrekturmaßnahme für eine Schwachstelle verfügbar wird, oder einen Monat bei einem schwerwiegenden Vorfall, gemäß den Leitlinien der Europäischen Kommission. Die Analyse der neuen Pflicht von Freshfields bringt einen Punkt vor, bei dem man verweilen sollte: Die Meldefristen beginnen in dem Moment, in dem Sie Kenntnis erlangen, und die Uhr hält an Wochenenden oder Feiertagen nicht an. Es gibt keine Schonfrist dafür, dass Ihr Sicherheitsverantwortlicher auf einer Konferenz war oder dass sich der Vorfall an einem Freitagabend ereignet hat. Wenn Ihre Organisation nicht bereits einen festgelegten Prozess dafür hat, wer eine Meldung bewertet, wer entscheidet, dass sie die Schwelle überschreitet, und wer sie einreicht, dann bauen Sie diesen Prozess zum ersten Mal unter einer laufenden 24-Stunden-Frist auf, was genau der falsche Moment ist, um überhaupt etwas aufzubauen. Die Meldung selbst läuft über Ihr nationales CSIRT, in den Niederlanden das NCSC, und über die EU-weite Single Reporting Platform, die von ENISA betrieben wird. So folgt ein Hersteller in Belgien, Deutschland oder anderswo in der EU demselben gestaffelten Zeitplan über seine eigene nationale Kontaktstelle. Die Abwicklung unterscheidet sich leicht von Mitgliedstaat zu Mitgliedstaat; die Pflicht und die Fristen tun es nicht. ## Warum sind die Zahlen zur Vorbereitung so schlecht? Hier muss sich die Behauptung, bei den meisten Herstellern seien die Prozesse Theater, ihren Platz verdienen, und die Umfragedaten stützen sie deutlicher, als ich erwartet hatte. Das SME Cyber Resilience Maturity Assessment Model von ENISA, veröffentlicht am 13. Juli 2026 und auf Feldarbeit mit 194 Organisationen in 31 Ländern gestützt, stellte ein hohes Bewusstsein für den CRA fest, aber durchweg eine geringe praktische Vorbereitung, wobei Incident Response und das Management des Produktlebenszyklus insgesamt als die beiden schwächsten Bereiche abschnitten. Das Bewusstsein, dass ein Gesetz existiert, ist nicht dasselbe wie ein Prozess, der innerhalb eines 24-Stunden-Fensters handeln kann. Die 2026er CRA-Vorbereitungsforschung der Linux Foundation und von OpenSSF, gestützt auf 843 Befragte, erzählt aus einem anderen Blickwinkel eine ähnliche Geschichte. Sechsundsechzig Prozent wussten noch immer nicht, was sie tatsächlich tun mussten, um konform zu sein, ein Wert, der sich gegenüber 62 Prozent im Vorjahr kaum bewegt hatte. Nur 41 Prozent der Hersteller erwarteten, die vollständige Konformität bis zur Frist im Dezember 2027 zu erreichen, und nur 34 Prozent nannten dieses Datum überhaupt korrekt. Unter den Befragten, die den CRA überhaupt kannten, konnten 54 Prozent noch immer nicht klar zwischen den Pflichten eines Herstellers und denen eines Verwalters unterscheiden. Nichts davon ist ein Vorwurf an irgendein einzelnes Compliance-Team. Es spiegelt eine Verordnung wider, die schneller vom Abstrakten ins Operative wechselte, als die meisten organisatorischen Prozesse folgen konnten. Aber es bedeutet, dass ein erheblicher Anteil der Hersteller, die dies lesen, die Linie des 11. September ohne einen erprobten Prozess im Rücken überschritten hat, was genau das Szenario ist, das die Meldepflicht aufdecken sollte. ## Wer muss tatsächlich melden? Nach dem CRA liegt die Meldepflicht beim Hersteller, also bei der Einheit, die ein Produkt mit digitalen Elementen unter ihrem eigenen Namen oder ihrer eigenen Marke auf dem EU-Markt bereitstellt, und die Größe der Organisation befreit Sie nicht. Ein Importeur oder Händler trägt in der Regel keine eigenständige Meldepflicht, es sei denn, er verkauft unter eigener Marke oder verändert das Produkt wesentlich; in diesem Fall wird er für dieses Produkt faktisch zum Hersteller. Verwalter von Open-Source-Software unterliegen einer leichteren Fassung derselben Pflicht, was das andere Verhältnis widerspiegelt, das sie zu den von ihnen gepflegten Produkten haben. Auch kleine und Kleinstunternehmen fallen vollständig in den Anwendungsbereich; das einzige Zugeständnis, das das niederländische NCSC bestätigt hat, ist, dass es in dieser Kategorie keine Strafe für das Verpassen des strikten 24-Stunden-Fensters gibt, was eine Milderung ist, keine Befreiung. Ein Detail ist erwähnenswert, weil es echte Verwirrung stiftet: Der CRA selbst verlangt keine vorherige Registrierung, bevor Sie melden können. Sie brauchen kein Konto und keinen Login, um eine Meldung einzureichen. Das ist eine bewusste Gestaltungsentscheidung, getrennt von der Registrierungspflicht, die nach dem Cyberbeveiligingswet (der niederländischen NIS2-Umsetzung) für Organisationen besteht, die auch unter jenes Gesetz fallen. Die beiden Pflichten laufen parallel, nicht als ein kombinierter Prozess, und sie zu vermengen ist ein leicht gemachter Fehler. ## Wie sieht “vorbereitet” tatsächlich aus? Sich auf die Meldepflicht des CRA vorzubereiten ist im Prinzip nicht kompliziert. In der Praxis ist es anspruchsvoll, was ein anderes Problem ist. Beginnen Sie mit einer ehrlichen Bestandsaufnahme dessen, was tatsächlich in Ihren Produkten steckt, idealerweise über eine Software Bill of Materials, denn Sie können nicht beurteilen, ob eine gemeldete Schwachstelle Sie betrifft, wenn Sie nicht wissen, welche Komponenten Sie ausliefern. Legen Sie Ihre eigenen internen Schwellenwerte im Voraus fest, was als aktive Ausnutzung oder als schwerwiegender Vorfall gilt, damit diese Einschätzung nicht zum ersten Mal unter Druck getroffen wird. Bauen Sie einen Eskalationsweg mit benannten Rollen auf: wer meldet, wer entscheidet, wer einreicht. Entwerfen Sie jetzt Vorlagen für die Frühwarnung, die 72-Stunden-Meldung und den Abschlussbericht, solange niemand unter einer Frist steht. Und stimmen Sie das mit allem anderen ab, unter dem Sie ohnehin bereits melden, denn ein guter Teil der Hersteller, die dies lesen, fällt auch unter das Cyberbeveiligingswet oder die AVG, und drei unkoordinierte Meldeprozesse zu betreiben ist ein eigenes Risiko. Das ist, nicht zufällig, dieselbe Disziplin, für die ich im Juli plädiert habe, als ich über die umfassenderen Compliance-Anforderungen des CRA schrieb: Wissen Sie, was Sie haben, kategorisieren Sie es ehrlich und erstellen Sie die Unterlagen, bevor die Aufsichtsbehörde danach fragt. Die Meldepflicht hat dieses Argument schlicht von “irgendwann” auf “jetzt” verschoben. Wenn Ihnen heute Morgen ein Kunde gesagt hätte, dass jemand eine Schwachstelle in Ihrem Produkt aktiv ausnutzt, wüsste Ihre Organisation dann innerhalb von 24 Stunden genau, wer diese Meldung aufnimmt? Wenn die ehrliche Antwort lautet “das würden wir schon hinbekommen”, dann ist die Meldepflicht heute nicht umsonst in Kraft getreten. ## Quellen - European Commission, Cyber Resilience Act, Reporting obligations, Shaping Europe’s Digital Future: [digital-strategy.ec.europa.eu/en/policies/cra-reporting](https://digital-strategy.ec.europa.eu/en/policies/cra-reporting) - ENISA, SME Cyber Resilience Maturity Assessment Model, published 13 July 2026. - Linux Foundation Research, Linux Foundation Europe, and OpenSSF, “The CRA Readiness Reality: What Changed (and What Didn’t) Between 2025 and 2026?”, June 2026: [linuxfoundation.org](https://www.linuxfoundation.org/blog/the-cra-readiness-reality-what-changed-and-what-didnt-between-2025-and-2026) - Freshfields, “Cyber Resilience Act reporting obligations take effect on 11 September 2026”: [freshfields.com](https://www.freshfields.com/en/our-thinking/blogs/technology-quotient/cyber-resilience-act-reporting-obligations-take-effect-on-11-september-2026-102nzmk) - Ministry of Economic Affairs and Climate Policy and National Cyber Security Centre (NCSC), Cyber Resilience Act, Themasessie Meldplicht (webinar), 27 August 2026.