Berichterstattung über den Cyber Resilience Act ist jetzt online: Was kleine Hersteller tun müssen

Am 11. September 2026 trat der erste verbindliche Teil des EU-Cyberresilienz-Aktes in Kraft. Ab diesem Datum müssen Hersteller vernetzter Hardware und Software aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über einen neuen EU-Kanal innerhalb der von der EU festgelegten engen Fristen melden. Europäische Kommission. Für viele kleine Software- und Geräteunternehmen ist die Meldepflicht gemäß dem Cyber Resilience Act das erste Mal, dass das EU-Produktrecht sie auffordert, innerhalb von Stunden statt Monaten zu handeln.

Was hat sich mit der Berichterstattung gemäß dem Cyber Resilience Act geändert?

Das Gesetz zur Cyberresilienz (Verordnung (EU) 2024/2847) trat am 10. Dezember 2024 in Kraft, und die meisten seiner Produktanforderungen gelten laut [Quelle fehlt] erst ab dem 11. Dezember 2027. Überblick der Kommission über die Verordnung. Die Meldepflichten gemäß Artikel 14 wurden bewusst vorgezogen. Seit dem 11. September 2026 muss ein Hersteller, der von einer aktiv ausgenutzten Sicherheitslücke in einem seiner Produkte oder einem schwerwiegenden Vorfall, der die Sicherheit dieses Produkts beeinträchtigt, Kenntnis erlangt, dies dem Hersteller melden.

Der Zeitplan ist strikt. Unter Artikel 14 der Verordnung, Eine erste Warnung erfolgt innerhalb von 24 Stunden nach Bekanntwerden des Problems, eine ausführlichere Benachrichtigung innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Lösung oder Abhilfemaßnahme für Schwachstellen bzw. innerhalb eines Monats bei schwerwiegenden Vorfällen. Die Meldungen erfolgen über die zentrale Meldeplattform der ENISA. ging am 11. September 2026 live. Die Meldung erreicht das nationale CSIRT, das als Koordinator in dem Mitgliedstaat fungiert, in dem der Hersteller seinen Hauptsitz hat; gleichzeitig wird ENISA informiert. Für ein Unternehmen mit Hauptsitz in Dänemark ist dies das dänische koordinierende CSIRT.

Zwei Details werden leicht übersehen. Erstens, da Hogan Lovells Cadwalader Notizen, Die Meldepflicht erstreckt sich auch auf Produkte, die vor dem vollständigen Inkrafttreten des CRA auf dem EU-Markt in Verkehr gebracht wurden, und besteht auch nach Ablauf des Supportzeitraums fort. Zweitens müssen Hersteller betroffene Nutzer über aktiv ausgenutzte Sicherheitslücken oder schwerwiegende Vorfälle informieren und gegebenenfalls alle Nutzer benachrichtigen.

Warum es für ein kleines Unternehmen wichtig ist

Der CRA umfasst “Produkte mit digitalen Elementen”, eine breite Kategorie, die die Kommission anhand folgender Beispiele veranschaulicht: Beispiele hierfür sind Babyphone, Smartwatches, Apps und Computerprogramme.. Ein dänisches Startup, das ein vernetztes Gerät, eine Desktop- oder mobile App oder eine von Kunden installierte Software verkauft, kann unabhängig von seiner Größe im rechtlichen Sinne als Hersteller gelten. Ob ein bestimmtes Produkt, eine Komponente oder ein Cloud-Element in den Anwendungsbereich fällt, ist nicht immer eindeutig. Aus diesem Grund veröffentlichte die Kommission eine entsprechende Richtlinie. Neue Leitlinien vom 27. Juli 2026 Die Bestimmungen umfassen Geltungsbereich, wesentliche Änderungen, Unterstützungszeiträume, Risikobewertung und Berichterstattung, wobei besonderes Augenmerk auf Kleinstunternehmen und KMU gelegt wird.

Der Strafrahmen ist von erheblicher Bedeutung. Artikel 64(2) Bei Verstößen gegen die grundlegenden Anforderungen und die Verpflichtungen aus den Artikeln 13 und 14 sind Verwaltungsstrafen von bis zu 15 Millionen Euro oder 2,51 Billionen Billionen des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, möglich. Für Kleinstunternehmen gibt es Erleichterungen: Laut Tech Times und ISMS-Copilot, Gemäß Artikel 64 Absatz 10 Buchstabe a können Kleinstunternehmen und kleine Betriebe nicht mit einer Geldstrafe belegt werden, wenn sie die 24-Stunden-Frühwarnfrist versäumen. Die Meldepflicht bleibt für sie bestehen, und diese Erleichterung erstreckt sich nicht auf die spätere Meldung und den Abschlussbericht.

In der Praxis ist für ein kleines Team selten das Ausfüllen des Formulars selbst die größte Herausforderung. Vielmehr geht es darum, kurzfristig zu erkennen, dass eine Sicherheitslücke aktiv ausgenutzt wird, wer im Unternehmen entscheidet, dass die Zeitmessung beginnt, und wer am Freitagabend Zugriff auf die Meldeplattform hat.

Praktische Schritte

Beginnen Sie mit der Erfassung Ihrer Produkte. Listen Sie alle Produkte auf, die Sie auf dem EU-Markt angeboten haben, einschließlich älterer, noch im Einsatz befindlicher Versionen, und erstellen Sie eine erste, dokumentierte Bewertung, welche Artikel wahrscheinlich Produkte mit digitalen Elementen sind. Nutzen Sie die Leitlinien der Kommission als Orientierungshilfe und lassen Sie sich bei Unklarheiten rechtlich beraten.

Als Nächstes sollte festgelegt werden, wer für die 24-Stunden-Uhr verantwortlich ist. Benennen Sie eine verantwortliche Person und eine Stellvertretung, vereinbaren Sie, wie eine Meldung über mögliche aktive Missbrauchsfälle diese erreicht, und richten Sie den Zugang zur zentralen Meldeplattform im Voraus ein. Erstellen Sie kurze Vorlagen für die Frühwarnung, die 72-Stunden-Benachrichtigung und die Nutzerkommunikation, damit niemand unter Zeitdruck alles neu verfassen muss.

Untersuchen Sie anschließend, wie Schwachstellen Sie erreichen. Eine veröffentlichte Kontaktstelle für Sicherheitsforscher, die Überwachung der Drittanbieter- und Open-Source-Komponenten, von denen Ihr Produkt abhängt, sowie ein klarer interner Weg von Support-Tickets zum Entwicklungsteam verkürzen die Zeitspanne zwischen dem Auftreten eines Problems und dessen Bekanntwerden im Unternehmen. Vereinbaren Sie in Verträgen mit wichtigen Zulieferern Benachrichtigungserwartungen, damit Sie nicht erst Wochen später von einem Fehler in einer ihrer Komponenten erfahren.

Betrachten Sie die Meldepflicht schließlich als Generalprobe für Dezember 2027, wenn die Sicherheits-, Dokumentations- und Konformitätsanforderungen der CRA uneingeschränkt gelten. KMU-Seite der CRA Es wird auf die Unterstützung durch das Programm „Digitales Europa“ und die Möglichkeit nationaler Schulungen, Sensibilisierungsmaßnahmen und regulatorischer Testumgebungen für kleinere Hersteller hingewiesen. Diese Entwicklungen sollten weiterverfolgt werden, sobald sie in Dänemark verfügbar sind.

Brenvard Aus der Perspektive von 's

Für Brenvard hat die CRA zwei Seiten. Wir entwickeln Websites, Webanwendungen und Apps, daher müssen wir für jedes Projekt klar definieren, wer gemäß der CRA als Hersteller gilt und wer für die Behebung von Sicherheitslücken zuständig ist, sobald ein Produkt im Einsatz ist. Das bedeutet, Verantwortlichkeiten, Supportzeiträume und Ansprechpartner für Meldungen schriftlich zu Beginn der Entwicklungsarbeit festzulegen – nicht erst, wenn etwas schiefgeht. Die Verordnung führt zu zusätzlichen Schritten in unserem Entwicklungsprozess und für jedes von uns betreute Produktteam und kann kleinere Projekte verteuern. Der Vorteil: Sicherheit durch Design und klare Vorgehensweisen bei Sicherheitsvorfällen werden von Anfang an Teil des Projekts, was in der Regel zu besserer Software und weniger Überraschungen für alle Beteiligten führt.

Eine abgemessene Reaktion

Der Stichtag 11. September 2026 erfordert kein umfangreiches Compliance-Programm, das über Nacht aufgelegt werden muss, aber einen funktionierenden Prozess, der innerhalb eines Tages umsetzbar ist. Kleine Hersteller, die jetzt ihren Produktumfang klären, Verantwortlichkeiten zuweisen und ihren Meldeweg testen, sind deutlich besser aufgestellt, wenn die vollständige Verordnung in Kraft tritt. Brenvard unterstützt Startups und kleinere Unternehmen bei der Implementierung solcher Prozesse im Rahmen seiner Arbeit an Cybersicherheit und Datenschutz, zusammen mit der rechtlichen und technischen Beratung, die jedes Unternehmen für seine eigenen Produkte benötigt.

Quellen

Europäische Kommission – Cyber Resilience Act: Berichtspflichten (abgerufen am 1. Oktober 2026)
Europäische Kommission – Cyber Resilience Act (abgerufen am 1. Oktober 2026)
Europäische Kommission – Kommission veröffentlicht neue Leitlinien zur Unterstützung von Unternehmen bei der Umsetzung des Cyber Resilience Act (27. Juli 2026)
Europäische Kommission – Cyber Resilience Act: KMU (aktualisiert am 31. Juli 2026)
EUR-Lex – Verordnung (EU) 2024/2847 (Gesetz zur Cyberresilienz)
Hogan Lovells Cadwalader – EU Cyber Resilience Act: Meldepflichten für Schwachstellen und Vorfälle gelten jetzt und die einheitliche Meldeplattform der ENISA ist in Betrieb (11. September 2026)
Tech Times – EU-Gesetz zur Cybersicherheit tritt in Kraft: Hersteller müssen nun innerhalb von 24 Stunden ausgenutzte Sicherheitslücken melden (11. September 2026)
ISMS Copilot – Cyber Resilience Act: Was gilt ab dem 11. September 2026?