Es gibt Fristen, die man mit einem Kalendereintrag erledigt, und es gibt Fristen, die eine Organisation verändern. Die Meldepflichten des Cyber Resilience Act gehören zur zweiten Sorte. Ab dem 11. September 2026 gilt: Wer von einer aktiv ausgenutzten Schwachstelle in seinem Produkt erfährt, hat 24 Stunden Zeit für eine Frühwarnung. Nicht 24 Werktagsstunden. 24 Stunden.
Wer schon einmal an einem Freitagabend um zehn eine Meldung über einen Vorfall bekommen hat, weiß, was diese Zahl bedeutet. Sie bedeutet, dass die Frage nicht mehr lautet, ob jemand erreichbar ist, sondern wer, über welchen Weg und mit welchem Mandat.
Was genau ab September gilt
Verbindlich werden die Meldepflichten für aktiv ausgenutzte Schwachstellen und für schwerwiegende Sicherheitsvorfälle. Das Verfahren ist dreistufig aufgebaut und lässt sich nicht abkürzen.
- Binnen 24 Stunden
- Frühwarnung nach Kenntnisnahme
- Binnen 72 Stunden
- Formale Meldung mit den bis dahin bekannten Details
- Binnen 14 Tagen
- Abschlussbericht
- Ab 11. September 2026
- Zusätzlich verpflichtender CVD-Kontaktpunkt
- Ab 11. Dezember 2027
- Vollständige Konformitätsanforderungen des CRA
Der CVD-Kontaktpunkt ist der Teil, der am wenigsten Aufwand macht und am häufigsten fehlt. CVD steht für Coordinated Vulnerability Disclosure. Gemeint ist eine benannte, dauerhaft erreichbare Stelle, an die Sicherheitsforscher und Kunden eine gefundene Lücke melden können. In der Praxis ist das eine Adresse wie security@ihrunternehmen.de, hinterlegt auf der Website, mit einem beschriebenen Verfahren dahinter.
Wer betroffen ist, und warum viele es unterschätzen
Der CRA erfasst Produkte mit digitalen Elementen. Das ist bewusst weit gefasst und trifft deutlich mehr Unternehmen, als der Begriff Cybersicherheit vermuten lässt. Betroffen sind Hersteller von Elektronik, von eingebetteten Systemen und von vernetzten Produkten aller Art.
Im Maschinenbau bedeutet das: Sobald eine Anlage eine Steuerung mit Netzwerkanschluss hat, sobald ein Fernwartungszugang existiert, sobald ein Gerät Daten in eine Cloud schickt, ist man in der Regel im Anwendungsbereich. Die Maschine, die seit acht Jahren zuverlässig ihre Arbeit macht und in deren Schaltschrank ein Industrie-PC mit einem Betriebssystem von damals steht, ist kein Sonderfall. Sie ist der Normalfall.
Die Pflicht gilt auch für Produkte, die bereits im Markt sind. Nicht nur für das, was ab September das Werk verlässt.
Dieser Satz ist der Kern des Problems. Ein Unternehmen kann seine neue Produktlinie sauber aufsetzen und trotzdem in Schwierigkeiten geraten, weil niemand weiß, welche Softwarestände auf den Geräten laufen, die zwischen 2019 und 2024 ausgeliefert wurden.
Warum die Stückliste zum Sicherheitsthema wird
Um binnen 24 Stunden sagen zu können, ob eine gemeldete Schwachstelle das eigene Produkt betrifft, braucht man eine Antwort auf eine scheinbar simple Frage: Was steckt eigentlich drin? Bei physischen Bauteilen beantwortet die Stückliste das seit Jahrzehnten. Bei Software fehlt sie in vielen Häusern bis heute.
Genau dafür gibt es die Software Bill of Materials, kurz SBOM. Sie ist nichts anderes als eine Stückliste für Software: welche Bibliotheken, welche Versionen, welche Lizenzen, in welchem Produktstand. Wenn am Sonntagmorgen eine kritische Lücke in einer weit verbreiteten Bibliothek bekannt wird, ist eine gepflegte SBOM der Unterschied zwischen einer Abfrage von zwei Minuten und einer Suchaktion von drei Tagen.
Wer eine solche Stückliste heute nicht hat, sollte nicht mit dem gesamten Produktportfolio anfangen. Ein Produkt, sauber erfasst, ist mehr wert als eine unvollständige Liste über alles.
Was in eine Meldung gehört
Die 24-Stunden-Frist wirkt vor allem deshalb bedrohlich, weil viele annehmen, sie müssten in dieser Zeit den Vorfall vollständig aufklären. Das ist nicht gemeint. Die Frühwarnung ist eine Frühwarnung. Sie sagt, dass etwas passiert ist, welches Produkt betroffen scheint und wie der Stand der Erkenntnis aussieht. Mehr wird zu diesem Zeitpunkt niemand erwarten, denn mehr weiß zu diesem Zeitpunkt auch niemand.
Die Aufklärung gehört in die 72-Stunden-Meldung und in den Abschlussbericht. Diese Staffelung ist bewusst so gebaut. Sie soll verhindern, dass Hersteller wochenlang schweigen, während ihre Kunden angreifbar bleiben. Wer die erste Frist als Aufforderung zur schnellen Information versteht und nicht als Aufforderung zur schnellen Lösung, verliert einen großen Teil des Drucks.
Praktisch heißt das: Es braucht eine vorbereitete Vorlage mit den Feldern, die ohnehin gefragt werden. Produkt, Version, Art der Schwachstelle, bekannter Ausnutzungsstand, betroffene Kundengruppen, erste Gegenmaßnahmen. Wer diese Vorlage im Vorfeld anlegt, muss sie im Ernstfall nur ausfüllen statt sie zu erfinden.
Was bis September realistisch machbar ist
- Den CVD-Kontaktpunkt einrichten und auf der Website veröffentlichen. Aufwand: ein halber Tag. Ohne ihn erfährt man von Lücken erst, wenn sie öffentlich sind.
- Eine Meldekette festlegen: Wer entscheidet am Wochenende, wer meldet, wer informiert die Geschäftsführung? Ein Blatt Papier reicht, solange es Namen und Telefonnummern enthält.
- Ein Produkt auswählen und dessen Softwarebestandteile vollständig erfassen. Daran zeigt sich, wie viel Arbeit der Rest wird.
- Prüfen, welche Lieferanten Softwarekomponenten beisteuern, und deren Auskunftsbereitschaft klären. Diese Gespräche dauern länger als die eigene Technik.
Der unterschätzte Nebeneffekt
Unternehmen, die diese Struktur aufbauen, berichten fast immer dasselbe. Der Aufwand fällt einmalig an, der Nutzen bleibt. Wer weiß, welche Komponenten in welchem Produktstand laufen, plant Updates besser, verhandelt mit Lieferanten schärfer und beantwortet Kundenfragen zur Sicherheit ohne Rückfrage in der Entwicklung.
Die Meldepflicht ist der Anlass. Die Übersicht ist der eigentliche Gewinn. Das ist bei den meisten Regularien so, es sagt nur selten jemand dazu.
