Monatsrückblick September 2026 · veröffentlicht am 13. November 2026
Seit dem 11. September 2026 greifen bestimmte Meldepflichten des Cyber Resilience Act. Hersteller erfasster Produkte mit digitalen Elementen benötigen dafür einen belastbaren Umgang mit Schwachstellen und Sicherheitsvorfällen.
Frühe Teilpflichten vor dem allgemeinen Anwendungsbeginn
Die Meldepflichten betreffen insbesondere aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle im Sinne des Regelwerks. Für erfasste Hersteller sind grundsätzlich eine Frühwarnung binnen 24 Stunden und eine weiterführende Meldung binnen 72 Stunden vorgesehen. Weitere Berichte haben eigene Fristen. Der allgemeine Anwendungsbeginn weiterer CRA-Pflichten im Jahr 2027 darf deshalb nicht als Aufschub sämtlicher Vorbereitung verstanden werden.
Auslöser und Zuständigkeit feststellen
Nicht jede technische Fehlermeldung erfüllt dieselben Voraussetzungen. Unternehmen müssen den Sachverhalt bewerten und zugleich verhindern, dass die interne Abstimmung die einschlägige Frist aufbraucht. Benötigt werden Produktzuordnung, betroffene Versionen, Hinweise auf Ausnutzung, mögliche Auswirkungen und bereits ergriffene Maßnahmen. Lieferanten und externe Sicherheitsforscher sollten klare Kontaktwege vorfinden. Die rechtliche Verantwortung ist anhand der tatsächlichen Rolle im Produktvertrieb zu bestimmen.
Meldungen mit Abhilfe und Kommunikation verbinden
Ein Meldeprozess muss mit technischer Untersuchung, Fehlerbehebung und Information betroffener Nutzer zusammenarbeiten. Parallel können andere Regelwerke einschlägig sein; eine CRA-Meldung erfüllt nicht automatisch sämtliche Datenschutz- oder sektorspezifischen Pflichten. Berichte sollten den jeweiligen Kenntnisstand zutreffend wiedergeben und später nachvollziehbar ergänzt werden. Eine organisierte Dokumentation erleichtert sowohl die weitere Abhilfe als auch die Erklärung gegenüber zuständigen Stellen.
Vier Praxisbeispiele
Illustrative Fallgestaltungen, keine Darstellung konkreter Mandate.
1. Aktiv ausgenutzte Schwachstelle im Gerät
Ein Hersteller erhält belastbare Hinweise auf Angriffe gegen eine Produktversion. Das zuständige Team prüft unverzüglich den Meldeauslöser und sichert technische Informationen. Die Untersuchung darf nicht erst abgeschlossen sein müssen, bevor eine erforderliche Frühwarnung abgegeben wird. Spätere Erkenntnisse fließen in die weiteren Berichte ein.
2. Zulieferer meldet eine unsichere Komponente
Ein Softwarelieferant informiert über eine Sicherheitslücke. Der Hersteller prüft, welche eigenen Produkte betroffen sind und ob die gesetzlichen Meldevoraussetzungen vorliegen. Die Mitteilung des Zulieferers ersetzt nicht automatisch die eigene Bewertung. Verträge sollten rechtzeitige Informationen und Unterstützung bei der Behebung vorsehen.
3. Vorfall betrifft auch personenbezogene Daten
Ein Angriff gefährdet zugleich Nutzerdaten. CRA- und Datenschutzpflichten werden getrennt geprüft und organisatorisch koordiniert. Zuständige Stellen, Inhalte und Fristen können unterschiedlich sein. Eine einzelne Meldung ohne diese Prüfung schafft keine verlässliche Gesamterfüllung.
4. Produkt wird unter eigener Marke vertrieben
Ein Unternehmen übernimmt ein digitales Produkt und verkauft es unter eigenem Namen. Es prüft seine Rolle und die daraus folgenden Pflichten. Ein Einkaufsvertrag, der den ursprünglichen Entwickler als technisch verantwortlich bezeichnet, entscheidet die gesetzliche Einordnung nicht allein. Zugriff auf notwendige Sicherheitsinformationen muss praktisch gesichert sein.
Quelle und weiterführende Beratung
Europäische Kommission: CRA reporting obligations. Rechtsstand dieses Beitrags: 13. November 2026.
EU-Digitalrecht: KI, Data Act, DSA und Datenschutz · Anfrage stellen