Ab dem 11. September 2026 gelten erste Pflichten des Cyber Resilience Act. Eine Bitkom-Umfrage zeigt, dass viele Unternehmen die Anforderungen kaum einschätzen können.
Für Hersteller von Software und vernetzten Produkten beginnt am 11. September 2026 eine neue Phase der europäischen Cybersicherheitsregeln. Dann greifen erste Pflichten des Cyber Resilience Act (CRA), darunter die Meldung aktiv ausgenutzter Sicherheitslücken und schwerwiegender Sicherheitsvorfälle. Eine Bitkom-Umfrage zeigt zugleich erhebliche Wissenslücken.
Viele Unternehmen kennen die Anforderungen nicht
Nach den Ergebnissen der Umfrage unter 1.003 Unternehmen mit mindestens zehn Beschäftigten haben 67 Prozent bereits vom CRA gehört. 38 Prozent kennen das Gesetz jedoch nur dem Namen nach und können die konkreten Anforderungen nicht einschätzen. Weitere 28 Prozent geben an, den CRA überhaupt nicht zu kennen. Nur 29 Prozent wissen demnach, was das Gesetz für den eigenen Betrieb bedeutet.
Die Pflichten richten sich nicht pauschal an alle Onlinehändler. Entscheidend ist insbesondere, ob ein Unternehmen digitale Produkte herstellt oder entsprechende Produkte in Verkehr bringt. Händler, die ausschließlich fremde Waren vertreiben, stehen damit vor einer anderen regulatorischen Aufgabe als Anbieter eigener smarter Geräte, vernetzter Komponenten oder Software.
Kurze Fristen bei Sicherheitsvorfällen
Wird eine Sicherheitslücke aktiv ausgenutzt oder tritt ein schwerwiegender Sicherheitsvorfall auf, soll die erste Meldung innerhalb von 24 Stunden erfolgen. Ergänzende Informationen müssen innerhalb von 72 Stunden folgen; später ist ein Abschlussbericht vorgesehen.
Betroffene Hersteller benötigen deshalb klare interne Meldewege, Zuständigkeiten sowie Erkennungs-, Bewertungs- und Eskalationsprozesse. Hinweise aus IT, Produktentwicklung, Kundenservice oder von externen Partnern müssen schnell eingeordnet werden können. Ebenso sollte feststehen, wer eine Meldung freigibt und welche Informationen zunächst belastbar sind.
Meldeplattform startet erst zum Stichtag
Die zentrale europäische Meldeplattform soll laut Bericht erst zum Beginn der Meldepflicht verfügbar sein. Eine Registrierung oder praktische Erprobung der Abläufe ist demnach vor dem Stichtag nicht möglich. In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik zuständig; die Plattform soll außerdem den Austausch mit nationalen Behörden und der EU-Cybersicherheitsagentur ENISA ermöglichen.
Der CRA verankert zudem Security by Design als verbindlichen Ansatz für digitale Produkte. Sicherheit wird damit zur Aufgabe der gesamten Produktorganisation – von der Entwicklung über die Produktpflege bis zur Verarbeitung von Schwachstelleninformationen. Hersteller sollten daher rechtzeitig klären, welche Produkte und Verantwortlichkeiten betroffen sind und wie Vorfälle intern simuliert und eskaliert werden.