Cyber Resilience Act Meldepflicht für Hersteller startet 2026 – jetzt handeln

Anbieter zum Thema

ONEKEY GmbH

Friedemann Wagner GmbH

Ab September 2026 müssen Hersteller vernetzter Produkte aktiv ausgenutzte Sicherheitslücken und schwere Cybervorfälle melden. Der Cyber Resilience Act tritt damit in seine operative Phase ein. Unternehmen sollten ihre Prozesse jetzt vorbereiten.

Der Cyber Resilience Act (CRA) hat ab 2026 erstmals unmittelbare Auswirkungen auf Hersteller digitaler Geräte, Maschinen und Anlagen mit Internetverbindung. Darauf weist das Düsseldorfer Cybersicherheitsunternehmen ONEKEY hin. Ab dem 11. September 2026 gelten verpflichtende Meldefristen für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle.

Meldepflicht nach Cyber Resilience Act greift ab September 2026

Hersteller müssen entsprechende Vorfälle melden, sobald sie davon Kenntnis erlangen – innerhalb kurzer, gesetzlich vorgegebener Fristen. Die Meldung erfolgt künftig zentral über die von der EU-Agentur für Cybersicherheit ENISA aufgebaute CRA Single Reporting Platform (SRP).

2026 markiert den Start der operativen CRA-Phase

Der CRA ist bereits am 10. Dezember 2024 in Kraft getreten. Während die vollständigen Anforderungen – etwa Security-by-Design, Lifecycle-Management und CE-Kennzeichnung mit CRA-Konformitätsnachweis – erst ab 11. Dezember 2027 verbindlich gelten, beginnt 2026 die entscheidende Umsetzungsphase.

„2026 beginnt die operative Phase des Cyber Resilience Act“, erklärt Onekey-Geschäftsführer Jan Wendenburg. „Spätestens jetzt müssen Hersteller ihre internen Abläufe CRA-tauglich aufstellen.“

Konformitätsbewertung: Externe Prüfstellen starten im Juni 2026

Ab 11. Juni 2026 nehmen die ersten Konformitätsbewertungsstellen (CABs) ihre Arbeit auf. Diese unabhängigen, zugelassenen Prüfstellen bewerten die CRA-Konformität von Produkten vorab.

Für Produkte mit hohem oder sehr hohem Sicherheitsrisiko – etwa Komponenten kritischer Infrastrukturen, industrielle Steuerungssysteme oder IoT-Geräte mit großem Schadenspotenzial – ist eine externe Konformitätsbewertung verpflichtend.

„Hersteller müssen ihre Prozesse, Dokumentationen und technischen Nachweise so vorbereiten, dass eine Prüfung überhaupt möglich ist“, so Jan Wendenburg.

Selbsterklärung reicht für die meisten vernetzten Produkte

Für rund 90 Prozent der vernetzten Produkte genügt laut CRA eine Selbsterklärung des Herstellers. Diese bestätigt, dass das Produkt alle gesetzlichen Anforderungen erfüllt und rechtmäßig in Verkehr gebracht wird.

Voraussetzung ist jedoch eine detaillierte Konformitätsbewertung. Ohne diese Erklärung dürfen betroffene Produkte ab dem 11. Dezember 2027 nicht mehr im EU-Markt verkauft werden.

SBOM als zentrale Herausforderung für Hersteller

Ein zentraler Bestandteil der CRA-Anforderungen ist die Software Bill of Materials (SBOM). Sie listet alle eingesetzten Programme, Bibliotheken, Frameworks und Abhängigkeiten inklusive Versionsnummern, Lizenzen, Urheber und bekannter Schwachstellen auf.

„Viele SBOMs sind unvollständig, veraltet oder ohne Bezug zu konkreten Sicherheitslücken“, sagt Wendenburg. „Für die gesetzlich vorgeschriebene Nachweispflicht sind solche Stücklisten unbrauchbar.“ Besonders problematisch seien zugekaufte Komponenten, Open-Source-Software und Software von Partnern außerhalb der EU, deren Dokumentation oft lückenhaft ist.

CRA-Anforderungen gehen weit über SBOMs hinaus

Der Cyber Resilience Act verpflichtet Hersteller, Cybersicherheit bereits in der Entwicklungsphase ihrer Produkte zu verankern. Dazu zählen:

• sichere Software- und Hardware-Designs;
• klar definierte Prozesse zur Schwachstellenbehandlung;
• ein durchgängiges Risikomanagement;
• verpflichtende Sicherheitsupdates über den gesamten Produktlebenszyklus.

Alle Maßnahmen müssen nicht nur umgesetzt, sondern auch bewertet, dokumentiert und nachgewiesen werden.

Automatisierung kann den Aufwand deutlich reduzieren

Ein Großteil des CRA-Aufwands lässt sich automatisieren. Plattformen zur Analyse von Firmware, zur Erstellung und Pflege von SBOMs sowie zur kontinuierlichen Überwachung von Sicherheitsrisiken können Hersteller erheblich entlasten.

„Die erste Umsetzungsphase des Cyber Resilience Act ist ein Meilenstein für die Cybersicherheit in Europa“, resümiert Wendenburg. „Für Hersteller bedeutet sie jedoch einen erheblichen organisatorischen und technischen Aufwand – wer jetzt nicht beginnt, gerät unter Zeitdruck.“

Weitere Informationen: https://onekey.com

Vereinte Kräfte für eine nachhaltige Produktion

E-Motoren aus dem 3D-Drucker