Cyber Resilience Act: Warum der 11. September 2026 für Hersteller zählt
Der Cyber Resilience Act ist die erste EU-weite Regelung, die Cybersicherheit über den gesamten Lebenszyklus von Produkten mit digitalen Elementen verpflichtend macht. Für viele Hersteller und Softwareanbieter klingt das nach einem Thema für 2027, dem Jahr der vollen Anwendbarkeit. Doch die erste harte Frist kommt deutlich früher: Ab dem 11. September 2026 gelten die Meldepflichten. Wer Software oder vernetzte Produkte in Verkehr bringt, sollte die verbleibenden Wochen nutzen, denn diese Pflicht trifft auch Produkte, die längst am Markt sind.
Was der Cyber Resilience Act regelt
Der Cyber Resilience Act (Verordnung EU 2024/2847) ist am 10. Dezember 2024 in Kraft getreten. Er verpflichtet Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, Cybersicherheit von der Entwicklung bis zum Support-Ende sicherzustellen. Gemeint sind nicht nur klassische Hardwareprodukte, sondern auch reine Softwareprodukte: Anwendungen, Bibliotheken, Firmware und alles, was mit einem Gerät oder Netz verbunden werden kann.
Der Kern der Verordnung ist einfach formuliert und in der Umsetzung anspruchsvoll. Produkte müssen ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden, über den Support-Zeitraum sicher aktualisierbar sein und mit einer verständlichen Dokumentation kommen. Hersteller müssen zudem Schwachstellen aktiv behandeln, also erkennen, beheben und offenlegen. Das entspricht dem Prinzip Security by Design, das damit vom guten Vorsatz zur rechtlichen Anforderung wird.
Die volle Anwendbarkeit greift erst am 11. Dezember 2027. Bis dahin gilt eine gestufte Einführung. Der erste wirklich bindende Meilenstein für die Praxis ist jedoch die Meldepflicht ab September 2026.
Der 11. September 2026: die Meldepflichten kommen zuerst
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden, die die Sicherheit ihrer Produkte betreffen. Wichtig ist die Reihenfolge im Zeitplan: Diese Berichtspflicht nach Artikel 14 gilt, bevor die übrigen technischen Anforderungen vollständig durchgesetzt werden. Der Grund ist naheliegend. Behörden wollen früh ein realistisches Lagebild darüber bekommen, welche Schwachstellen tatsächlich angegriffen werden.
Was gemeldet werden muss
Meldepflichtig sind zwei Kategorien. Erstens jede aktiv ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen. Zweitens jeder schwerwiegende Sicherheitsvorfall, der Auswirkungen auf die Sicherheit des Produkts hat. Die Meldung geht an das zuständige nationale CSIRT und an die EU-Agentur für Cybersicherheit ENISA, technisch abgewickelt über die von ENISA betriebene zentrale Meldeplattform, die CRA Single Reporting Platform. Betroffene Nutzerinnen und Nutzer sind zusätzlich zu informieren, damit sie eigene Schutzmaßnahmen ergreifen können.
Die Fristen im Überblick
Die Fristen sind eng und orientieren sich am Muster, das viele bereits aus der NIS2-Welt kennen. Innerhalb von 24 Stunden nach Kenntnis ist eine Frühwarnung abzugeben. Innerhalb von 72 Stunden folgt die eigentliche Meldung mit mehr Details. Ein Abschlussbericht ist bei Schwachstellen nach deren Behebung fällig, spätestens 14 Tage danach, bei schwerwiegenden Vorfällen innerhalb eines Monats. Diese Taktung lässt wenig Raum für Improvisation. Wer erst im Ernstfall klärt, wer meldet und über welchen Kanal, verliert wertvolle Stunden.
Warum die Frist auch Bestandsprodukte betrifft
Ein verbreiteter Irrtum lautet, die Pflichten gälten nur für Produkte, die nach 2027 neu auf den Markt kommen. Für die Meldepflicht stimmt das nicht. Sie greift unabhängig davon, ob ein Produkt bereits vollständig CRA-konform gestaltet ist, und sie erfasst auch Produkte, die vor dem Stichtag in Verkehr gebracht wurden. Für Hersteller bedeutet das: Ein aktiv ausgenutzter Fehler in einer seit Jahren ausgelieferten Anwendung ist ab September 2026 ein meldepflichtiger Vorgang. Der Prozess dafür muss vorher stehen.
Wen die Pflichten treffen
Adressat ist in erster Linie der Hersteller, also derjenige, der ein Produkt mit digitalen Elementen unter eigenem Namen entwickelt oder entwickeln lässt und in Verkehr bringt. Das schließt viele Unternehmen ein, die sich selbst nicht als klassische Softwarehäuser sehen: Maschinenbauer mit vernetzter Steuerung, Anbieter von Apps und Portalen, Betreiber, die eigene Software vertreiben. Auch Importeure und Händler tragen Pflichten, etwa die Prüfung, ob ein Produkt die Anforderungen erfüllt. Wer Softwareprodukte entwickelt, sollte deshalb früh klären, in welcher Rolle das eigene Unternehmen steht.
An dieser Stelle lohnt der Blick auf die Abgrenzung zu NIS2. NIS2, in Österreich umgesetzt durch das NISG 2026, richtet sich an Betreiber wesentlicher und wichtiger Einrichtungen und regelt deren Organisation und Risikomanagement. Der Cyber Resilience Act adressiert das Produkt selbst und dessen Hersteller. Viele Unternehmen fallen unter beide Regime, weil sie einerseits kritische Dienste betreiben und andererseits eigene Software herstellen. Eine Einordnung, welche Vorgabe für welche Rolle gilt, verhindert doppelte Arbeit und blinde Flecken. Wer sich bereits mit dem NIS2-Umsetzungsprozess beschäftigt hat, kann auf bestehenden Meldeprozessen aufsetzen.
Was Hersteller jetzt konkret tun sollten
Die Zeit bis September 2026 reicht, wenn jetzt begonnen wird. Fünf Schritte bringen den größten Hebel.
Erstens: Produktinventar erstellen. Welche Produkte mit digitalen Elementen bringt das Unternehmen in Verkehr, in welchen Versionen, mit welchen Komponenten und Abhängigkeiten? Ohne diese Übersicht ist keine belastbare Schwachstellenbehandlung möglich.
Zweitens: Meldeprozess definieren. Wer entscheidet, dass ein Vorfall meldepflichtig ist? Wer erfasst die Frühwarnung binnen 24 Stunden? Wer kommuniziert mit CSIRT und ENISA? Diese Rollen gehören schriftlich festgelegt und einmal geübt, nicht erst im Ernstfall besetzt.
Drittens: Schwachstellen-Management aufsetzen. Ein Prozess, um Schwachstellen in eigenen Produkten und in eingesetzten Fremdkomponenten zu erkennen, zu bewerten und zu beheben, ist die Grundlage. Dazu gehört eine aktuelle Übersicht der verwendeten Softwarebestandteile, etwa in Form einer Software-Stückliste.
Viertens: Security by Design in der Entwicklung verankern. Sichere Standardeinstellungen, geprüfte Abhängigkeiten und ein sicherer Update-Mechanismus sind keine Zusatzfeatures, sondern die Basis, um die technischen Anforderungen ab 2027 überhaupt erfüllen zu können.
Fünftens: Support-Zeitraum und Dokumentation klären. Für wie lange werden Sicherheitsupdates bereitgestellt, und ist das gegenüber Kundinnen und Kunden dokumentiert? Diese Angaben werden Teil der Produktinformation.
Für Unternehmen, die Software entwickeln und zugleich schützen wollen, greifen hier zwei Welten ineinander. Sichere Entwicklung und belastbare Detektion gehören zusammen. ITanic verbindet beides aus einer Hand, von der Gap-Analyse in der Compliance-Beratung über Detection und Response bis zur Softwareentwicklung mit Security by Design.
Fazit
Der Cyber Resilience Act wird oft auf das Jahr 2027 verkürzt, doch die erste bindende Pflicht ist die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle ab dem 11. September 2026. Sie gilt eng getaktet, betrifft auch bestehende Produkte und verlangt einen eingespielten Prozess. Der Aufwand, ihn jetzt aufzusetzen, ist überschaubar. Der Aufwand, ihn im ersten Ernstfall zu improvisieren, ist es nicht. Wer heute Produktinventar, Meldeweg und Schwachstellenbehandlung klärt, geht der Frist gelassen entgegen und legt zugleich die Grundlage für die technischen Anforderungen, die 2027 folgen.
Quellen
KPMG Austria in Kooperation mit dem Kompetenzzentrum Sicheres Österreich, „Cybersecurity in Österreich 2026“, 2026. Kontextzahl für die aktuelle Bedrohungslage in Österreich. https://kpmg.com/at/de/media/publications/cybersecurity-studie.html
Europäische Kommission, „The Cyber Resilience Act, Summary of the legislative text“, digital-strategy.ec.europa.eu, 2025. Beleg für Inkrafttreten 10. Dezember 2024, Meldepflichten (Artikel 14) ab 11. September 2026, volle Anwendbarkeit 11. Dezember 2027, Meldung an CSIRT und ENISA über die CRA Single Reporting Platform. https://digital-strategy.ec.europa.eu/en/policies/cra-summary
Europäische Kommission, „Cyber Resilience Act“, digital-strategy.ec.europa.eu. Beleg für Geltungsbereich Produkte mit digitalen Elementen und Herstellerpflichten. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
BHO Legal, „Cyber Resilience Act (CRA): Neue IT-Sicherheitspflichten für Unternehmen ab dem 11. September 2026“, 2026. Beleg für Fristen 24 Stunden, 72 Stunden, 14 Tage bzw. ein Monat und Geltung auch für nicht vollständig konforme Bestandsprodukte. https://www.bho-legal.com/cyber-resilience-act-cra-neue-it-sicherheitspflichten-fuer-unternehmen-ab-dem-11-september-2026/