Ab dem 11. September 2026 greifen erste Pflichten des europäischen Cyber Resilience Act. Hersteller müssen aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle bei Software und vernetzten Produkten innerhalb von 24 Stunden melden. Innerhalb von 72 Stunden sind ergänzende Informationen erforderlich, später folgen Abschlussberichte.
Kurz vor dem Start zeigt sich jedoch, dass viele Unternehmen in Deutschland nur unzureichend vorbereitet sind. Nach einer Bitkom-Umfrage unter 1.003 Unternehmen ab zehn Beschäftigten wissen lediglich 29 Prozent, was der Cyber Resilience Act konkret für den eigenen Betrieb bedeutet.
Zwei Drittel kennen den CRA, viele aber nur oberflächlich
67 Prozent der befragten Unternehmen haben bereits vom Cyber Resilience Act gehört. Ein großer Teil kann die Folgen für das eigene Geschäft jedoch noch nicht einschätzen.
38 Prozent kennen das Gesetz dem Namen nach, wissen aber nicht, welche Anforderungen daraus für ihr Unternehmen entstehen. Weitere 28 Prozent geben an, den CRA überhaupt nicht zu kennen. Damit fehlt bei einem erheblichen Teil der Wirtschaft noch grundlegendes Wissen zu den neuen Vorgaben.
Gewinnen in der Plattform-Ökonomie
Sicherheitsvorfälle müssen binnen 24 Stunden gemeldet werden
Mit dem CRA führt die Europäische Union verbindliche Mindestanforderungen für Produkte mit digitalen Funktionen ein. Ein zentraler Baustein ist die neue Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.
Die erste Meldung muss innerhalb von 24 Stunden erfolgen. Innerhalb von 72 Stunden müssen zusätzliche Informationen nachgereicht werden. Anschließend ist ein abschließender Bericht vorgesehen.
Für Unternehmen bedeutet das, dass interne Prozesse zur Erkennung, Bewertung und Eskalation von Sicherheitsvorfällen deutlich stärker formalisiert werden müssen.
Meldeplattform geht erst zum Stichtag online
Für die Meldungen ist eine zentrale europäische Plattform vorgesehen. Sie soll den Austausch zwischen Unternehmen, nationalen Behörden und der EU-Cybersicherheitsagentur ENISA ermöglichen.
In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik zuständig. Aus Sicht des Bitkom erschwert allerdings der späte Start der technischen Infrastruktur die Vorbereitung.
Unternehmen können sich vor dem Stichtag nicht registrieren und die vorgesehenen Abläufe nicht praktisch testen. Die Plattform soll erst mit Inkrafttreten der Meldepflicht verfügbar sein.
Security by Design wird zum verbindlichen Prinzip
Der Bitkom begrüßt grundsätzlich die Zielsetzung des Cyber Resilience Act. Erstmals gelten EU-weit verbindliche Sicherheitsanforderungen für digitale Produkte, wobei Security by Design zu einem zentralen Grundsatz wird.
Höhere Standards sollen Unternehmen, Verbraucher, Lieferketten und kritische Infrastrukturen besser vor Cyberangriffen schützen. Voraussetzung sei jedoch, dass die neuen Regeln technisch und organisatorisch praktikabel umgesetzt werden können.
Unternehmen müssen Prozesse kurzfristig anpassen
Für betroffene Hersteller steigt damit der Handlungsdruck. Neben technischen Sicherheitsmaßnahmen müssen insbesondere Meldewege, Verantwortlichkeiten und interne Eskalationsprozesse auf die neuen Fristen abgestimmt werden.
Die Bitkom-Zahlen zeigen, dass hier noch erheblicher Nachholbedarf besteht. Mit dem Start der 24-Stunden-Meldepflicht wird der Cyber Resilience Act für viele Unternehmen nun von einem regulatorischen Zukunftsthema zu einer unmittelbar operativen Verpflichtung.
