Die 24-Stunden-Uhr tickt: Was der Cyber Resilience Act jetzt verlangt

Seit dem 11. September 2026 gilt eine der wichtigsten Neuerungen der EU-Cybersicherheitsregulierung: die Meldepflicht des Cyber Resilience Act (CRA). Wer Produkte mit digitalen Elementen auf dem EU-Markt anbietet, muss aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle künftig binnen 24 Stunden melden – an die EU-Agentur für Cybersicherheit (ENISA) und das zuständige nationale CSIRT.

Wer ist betroffen?

Die Meldepflicht trifft deutlich mehr Unternehmen, als viele annehmen. Erfasst sind Hersteller von „Produkten mit digitalen Elementen“ – und das reicht vom klassischen Elektronikhersteller über den Maschinenbauer mit vernetzter Steuerung bis zum Importeur smarter Geräte. Zwei Punkte werden dabei häufig übersehen:

  • Auch Bestandsprodukte zählen. Die Pflicht gilt nicht nur für Neuware, sondern auch für Produkte, die bereits im Umlauf sind.
  • Auch der Mittelstand ist gemeint. Wer vernetzte Komponenten verbaut, importiert oder unter eigenem Namen vertreibt, fällt schnell in den Anwendungsbereich – unabhängig von der Unternehmensgröße.

Die Fristen im Überblick

  • 24 Stunden: Frühwarnung bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen – über die zentrale CRA Single Reporting Platform der ENISA
  • 72 Stunden: Detaillierte Meldung mit Bewertung des Vorfalls
  • 14 Tage nach Bereitstellung einer Korrektur: Abschlussbericht zur Schwachstelle

Der CRA gilt vollständig ab dem 11. Dezember 2027 – die Meldepflichten sind aber bereits jetzt verbindlich. Wie bei NIS2 gilt: Wer die Prozesse erst im Ernstfall aufsetzt, hat schon verloren.

Warum eine 24-Stunden-Frist nur mit Vorbereitung funktioniert

Melden kann nur, wer weiß, dass es etwas zu melden gibt. Genau daran scheitert es in der Praxis am häufigsten: Ohne systematisches Schwachstellen-Management vergehen zwischen dem Bekanntwerden einer Lücke und ihrer Entdeckung im eigenen Haus oft Tage oder Wochen – die Meldefrist ist dann längst gerissen, bevor überhaupt jemand den Vorfall bemerkt hat.

Drei Dinge sollten betroffene Unternehmen jetzt klären:

  • Betroffenheitsanalyse: Fallen unsere Produkte unter den CRA? Welche Rolle nehmen wir ein – Hersteller, Importeur, Händler?
  • Erkennungsfähigkeit: Gibt es ein kontinuierliches Schwachstellen-Scanning mit priorisierter Behebung – oder verlassen wir uns auf Zufallsfunde?
  • Meldeprozess: Wer meldet was, an wen, in welcher Frist? Verantwortlichkeiten und Meldewege müssen vor dem Ernstfall definiert sein.

Unser Ansatz

Schwachstellen-Management ist mit dem CRA endgültig keine Kür mehr, sondern Compliance-Grundlage. Mit unserem Risiko-Management auf CTEM-Basis und ITatScale Shield (Schwachstellen-Modul, priorisierte Behebung, automatisches Patching für Standardsoftware) schaffen wir genau die Erkennungsfähigkeit, auf der eine verlässliche 24-Stunden-Meldung aufbaut.

Sie sind unsicher, ob und wie Sie betroffen sind? Wir prüfen es gemeinsam mit Ihnen – unverbindlich und ohne Verkaufsdruck: info@itatscale.de oder +49 (0)211 30297400.

Alle Details zu unserem Ansatz: itatscale.de/security/risiko-management