Cyber Resilience Act: Meldepflicht ab 11. September 2026 für Maschinenbau, OEM und Importeure

Ausgangslage: Die erste scharfe Frist der Cyberresilienz-Verordnung

Der Cyber Resilience Act ist die erste europäische Verordnung, die ein Mindestmaß an Cybersicherheit für alle vernetzten Produkte festlegt, die auf dem EU-Markt erhältlich sind. Die Verordnung (EU) 2024/2847 wurde am 20. November 2024 im Amtsblatt veröffentlicht und trat am 10. Dezember 2024 in Kraft. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, eine nationale Umsetzung wie bei NIS-2 ist nicht erforderlich. Die Pflichten greifen jedoch gestaffelt, damit Hersteller Zeit zur Vorbereitung haben.

Der Zeitplan nach Angaben des Bundesamts für Sicherheit in der Informationstechnik sieht vier Etappen vor. Seit dem 11. Juni 2026 sind die Verfahren zur Benennung von Konformitätsbewertungsstellen etabliert. Am 11. September 2026 beginnt die Meldepflicht für Hersteller. Bis zum 11. Dezember 2026 müssen die Mitgliedstaaten für eine ausreichende Zahl notifizierter Stellen sorgen. Am 11. Dezember 2027 gelten sämtliche Anforderungen, einschließlich der grundlegenden Cybersicherheitsanforderungen vor dem Inverkehrbringen, der Behandlung von Schwachstellen über den gesamten Lebenszyklus und der Transparenz gegenüber Nutzern.

Die Meldepflicht ist damit die erste Verpflichtung, die tatsächlich durchsetzbar wird, und sie beginnt mehr als ein Jahr vor der vollständigen Anwendbarkeit. Für Hersteller bedeutet das: Wer am 11. September 2026 ein Produkt mit digitalen Elementen auf dem EU-Markt hat, muss an diesem Tag in der Lage sein, eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden zu melden, auch wenn das Produkt vor Jahren entwickelt und verkauft wurde.

Quelle: BSI, Cyber Resilience Act, Abschnitt FAQ Zeitplan, Stand April 2026

Welche Produkte erfasst sind

Produkte mit digitalen Elementen werden im CRA als Produkte einschließlich ihrer Datenfernverarbeitungslösungen definiert, die direkt oder indirekt mit einem Gerät oder einem Netzwerk verbunden werden können. Die Definition ist bewusst weit gefasst. Sie umfasst nach Darstellung des BSI preisgünstige Verbraucherprodukte ebenso wie B2B-Software und komplexe Industriesysteme. Erfasst sind vernetzte Hardware wie Mikroprozessoren, Firewalls oder Smart-Meter-Gateways und reine Softwareprodukte wie Buchhaltungssoftware oder mobile Apps.

Für die Industrie bedeutet das, dass eine große Zahl von Produkten in den Anwendungsbereich fällt, die bisher nur unter die Maschinenverordnung, die Niederspannungsrichtlinie oder die Funkanlagenrichtlinie fielen. Dazu zählen speicherprogrammierbare Steuerungen, Bedienpanels, Frequenzumrichter mit Netzwerkschnittstelle, Industrierouter und IoT-Gateways, vernetzte Ladegeräte für Flurförderzeuge, Zutrittssysteme, Kameras, Sensorik mit Funkanbindung, Leitsysteme und jede Maschine, die eine solche Komponente enthält und als Ganzes in Verkehr gebracht wird.

Ausgenommen sind Produkte, für die sektorspezifische Regelungen mit gleichwertigen Anforderungen bestehen: Medizinprodukte, In-vitro-Diagnostika, Kraftfahrzeuge, zivile Luftfahrt und Schiffsausrüstung sowie Produkte im Kontext der nationalen Sicherheit. Nicht kommerzielle Open-Source-Software ohne Gewinnerzielungsabsicht ist ebenfalls ausgenommen, ebenso Ersatzteile für Bestandsprodukte. Ein Maschinenbauer, der eine Steuerung eines Drittherstellers in seine Anlage integriert, bleibt für das Gesamtprodukt verantwortlich, auch wenn die Schwachstelle in der zugekauften Komponente liegt.

Der CRA unterscheidet drei Stufen. Die meisten Produkte sind Standardprodukte, für die eine Selbstbewertung des Herstellers genügt. Wichtige Produkte nach Anhang III, etwa Firewalls oder Passwortmanager, unterliegen strengeren Konformitätsbewertungsverfahren. Kritische Produkte nach Anhang IV, etwa Smartcards oder Smart-Meter-Gateways, benötigen eine Zertifizierung nach einem europäischen Schema. Die technische Beschreibung dieser Kategorien hat die Kommission mit der Durchführungsverordnung (EU) 2025/2392 vom 28. November 2025 konkretisiert, die am 1. Dezember 2025 im Amtsblatt veröffentlicht wurde; Anhang I der Durchführungsverordnung beschreibt die wichtigen Produkte der Klassen I und II, Anhang II die kritischen Produkte. Entscheidend für die Einordnung ist danach ausdrücklich die Kernfunktionalität des Produkts und nicht eine darin enthaltene Komponente: Ein Betriebssystem mit integriertem Browser bleibt ein Betriebssystem, und der Einbau einer wichtigen Komponente zwingt das Gesamtprodukt nicht automatisch in das strengere Verfahren. Für Maschinenbauer ist das die entscheidende Entlastung: Eine Anlage wird nicht allein deshalb zum wichtigen Produkt, weil in ihr ein Industrierouter oder eine Firewallkomponente steckt. Wer die deutsche Fassung verwendet, sollte die im Juni 2026 veröffentlichte Berichtigung 2026/90449 berücksichtigen, mit der die deutschsprachige Version des Rechtsakts korrigiert wurde. Die Meldepflicht gilt unabhängig von dieser Einstufung für alle Produkte mit digitalen Elementen.

Quellen: BSI, Cyber Resilience Act, Abschnitte Diese Produkte fallen unter den CRA und Produktkategorien; Durchführungsverordnung (EU) 2025/2392 der Kommission vom 28. November 2025 über die technische Beschreibung der Kategorien von wichtigen und kritischen Produkten mit digitalen Elementen, ABl. vom 1. Dezember 2025, nebst Berichtigung 2026/90449

Wer als Hersteller gilt: Maschinenbauer, OEM und Importeure

Die Meldepflicht nach Artikel 14 trifft den Hersteller. Nach Darstellung des BSI gilt sie für alle Hersteller, die ihre Produkte auf dem EU-Markt anbieten, unabhängig davon, ob der Geschäftssitz innerhalb oder außerhalb der EU liegt. Ein asiatischer Hersteller von Industrieroutern ist genauso verpflichtet wie ein deutscher Maschinenbauer. Darüber hinaus müssen Importeure und Händler vernetzter Produkte die Einhaltung der Vorschriften sicherstellen.

In der Praxis ergeben sich für Industriebetriebe drei typische Konstellationen. Erstens der klassische Hersteller, der Maschinen, Anlagen oder Komponenten mit Steuerungssoftware entwickelt und vertreibt. Zweitens der Eigenmarken-Anbieter, der vernetzte Betriebsausstattung wie Ladegeräte, Zeiterfassungsterminals oder Zutrittssysteme außerhalb der EU fertigen lässt und unter eigenem Namen verkauft. Drittens der Importeur, der Produkte eines Drittlandsherstellers in die EU einführt. Importeure und Händler müssen nach Angaben des BSI sicherstellen, dass die Vorschriften der Verordnung eingehalten werden; welche Pflichten im Einzelnen auf Eigenmarken-Anbieter und Importeure entfallen, ergibt sich aus dem Verordnungstext.

Betreiber, die Produkte nur einsetzen, stehen außerhalb der Meldepflicht nach Artikel 14. Sie sind jedoch mittelbar betroffen: Wenn ihr Hersteller die Meldewege nicht beherrscht, erfahren sie von einer aktiv ausgenutzten Schwachstelle in der eigenen Produktion zu spät oder gar nicht. Der CRA verpflichtet Hersteller parallel zur Behördenmeldung, betroffene Nutzer zu informieren. Für Einkauf und IT-Leitung liegt die Konsequenz deshalb in Verträgen und Lieferantengesprächen, worauf dieser Beitrag weiter unten eingeht.

Quellen: BSI, Cyber Resilience Act, FAQ zu außereuropäischen Herstellern; Digital Chiefs, CRA zwingt Hersteller zur Meldung binnen 24 Stunden, 13. August 2026

Das Meldeverfahren: Fristen, Inhalte und Plattform

Zu melden sind zwei Arten von Ereignissen. Eine aktiv ausgenutzte Schwachstelle ist eine Schwachstelle, für die es zuverlässige Belege gibt, dass ein böswilliger Akteur sie ohne Erlaubnis des Systemeigentümers ausgenutzt hat. Ein schwerwiegender Sicherheitsvorfall ist ein Vorfall, der die Fähigkeit des Produkts, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Funktionen zu schützen, negativ beeinträchtigt oder beeinträchtigen kann, oder der zur Einschleusung oder Ausführung von Schadcode im Produkt oder in den Systemen des Nutzers führen kann. Das BSI nennt als Beispiele die Manipulationsmöglichkeit von Programmcode oder einen kompromittierten Update-Mechanismus.

Das Meldeverfahren verläuft in drei Stufen, die mit dem Zeitpunkt beginnen, an dem der Hersteller Kenntnis erlangt:

Alle Meldungen laufen über die Single Reporting Platform (SRP), die die ENISA nach Artikel 16 CRA einrichtet und betreibt. Die Plattform soll zum 11. September 2026 betriebsbereit sein. Stand 24. August 2026, dem Redaktionsschluss dieses Beitrags, ist sie noch nicht freigeschaltet und befindet sich in einer vorbereitenden Testphase; die öffentliche Zugangsadresse will die ENISA erst kurz vor dem Start auf ihrer SRP-Seite bekanntgeben. Betriebe können sich also derzeit noch nicht auf der Plattform selbst einrichten, wohl aber alle Voraussetzungen dafür schaffen. Eine Meldung wird gleichzeitig an das als Koordinator benannte CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat, und an die ENISA übermittelt. Das CSIRT leitet die Information an die CSIRTs der Mitgliedstaaten weiter, in denen das Produkt erhältlich ist, sowie bei Bedarf an die Marktüberwachungsbehörden. In Ausnahmefällen kann die Weiterleitung aus Sicherheitsgründen verzögert werden, die Bedingungen dafür hat die Kommission in einem delegierten Rechtsakt vom 11. Dezember 2025 festgelegt.

Für den Zugang benötigen die beauftragten Vertreter des Herstellers ein EU-Login-Konto, das vorab angelegt werden kann. Die Prüfung, ob eine Person tatsächlich für einen Hersteller melden darf, übernimmt das koordinierende CSIRT nach dem ersten Zugriff parallel zum Meldevorgang. Die ENISA rät, die Registrierung erst vorzunehmen, wenn tatsächlich eine Meldung ansteht, um die CSIRTs nicht mit Vorabregistrierungen zu belasten. Eine Programmierschnittstelle für automatisierte Meldungen wird zunächst nicht angeboten. Die ENISA hat im Juli 2026 ein Faktenblatt und Benutzeranleitungen veröffentlicht und plant ein Webinar etwa zwei Wochen vor Inbetriebnahme der Plattform.

Wichtig für Hersteller mit Bestandsprodukten: Die Meldepflicht knüpft an die Kenntniserlangung an. Schwachstellen, deren aktive Ausnutzung dem Hersteller bereits vor dem 11. September 2026 bekannt war, müssen nicht nachgemeldet werden. Erlangt er nach diesem Datum Kenntnis von der Ausnutzung einer Schwachstelle in einem vor Jahren verkauften Produkt, ist diese meldepflichtig. Die Kommission hat dazu in ihren FAQ und in dem am 27. Juli 2026 veröffentlichten Leitfaden zur CRA-Umsetzung Erläuterungen gegeben, auf die die ENISA verweist.

Quelle: ENISA, Single Reporting Platform (SRP), FAQ Stand 31. Juli 2026

Software-Stückliste und Schwachstellenmanagement als Grundlage

Eine Meldung innerhalb von 24 Stunden setzt voraus, dass der Hersteller überhaupt weiß, welche Softwarekomponenten in welchem Produkt stecken. Der CRA schreibt deshalb die Erstellung einer Software Bill of Materials (SBOM) vor. Das BSI beschreibt sie als Zutatenverzeichnis der Software: eine Inventarliste aller verwendeten Bibliotheken und Komponenten, idealerweise in maschinenverarbeitbarem Format. Die SBOM muss erstellt, aber nicht veröffentlicht werden. Ihr Zweck ist das Schwachstellenhandling: Wird eine Schwachstelle in einer verbreiteten Bibliothek bekannt, kann der Hersteller über die SBOM sofort feststellen, welche seiner Produkte betroffen sind.

Das BSI hat mit der Technischen Richtlinie TR-03183 einen dreiteiligen Rahmen veröffentlicht. Teil 1 fasst die allgemeinen Anforderungen an Hersteller und Produkte in Anlehnung an die Artikel und Anhänge des CRA zusammen. Teil 2 enthält formelle und fachliche Vorgaben für SBOM. Teil 3 beschreibt den Umgang mit eingehenden Schwachstellenmeldungen. Für Maschinenbauer, die bisher keine Softwarestücklisten führen, ist Teil 2 der Einstieg: Er legt fest, welche Felder eine SBOM mindestens enthalten muss und in welchen Formaten sie vorliegen sollte.

Neben der SBOM verlangt der CRA einen Supportzeitraum, in dem der Hersteller Sicherheitsupdates bereitstellt und aktives Schwachstellenhandling betreibt. Dieser Zeitraum beträgt in der Regel fünf Jahre und muss dem Nutzer klar mitgeteilt werden. Für Maschinen mit Betriebszeiten von 15 oder 20 Jahren ist das eine neue Dimension: Der Hersteller muss für jede vernetzte Komponente festlegen, bis wann er Updates liefert, und diese Information in die technische Dokumentation aufnehmen. Für Betreiber gehört das Supportende künftig in die Investitionsentscheidung, weil ein Produkt nach Ablauf des Supports ein steigendes Betriebsrisiko darstellt.

Quelle: BSI, Cyber Resilience Act, Abschnitte Das ist zu tun, SBOM und Technische Richtlinie TR-03183

Verbindung zur CE-Kennzeichnung und zur Maschinenverordnung

Der CRA führt keine neue Kennzeichnung ein. Ab dem 11. Dezember 2027 umfasst das CE-Zeichen auch die Cybersicherheitsanforderungen. Hersteller, die die Nachweisprozesse aus der Maschinenverordnung, der Niederspannungsrichtlinie oder der EMV-Richtlinie kennen, finden ein vertrautes Verfahren vor: Risikobewertung, technische Dokumentation, Konformitätsbewertung, Konformitätserklärung. Neu ist, dass die Verpflichtungen nicht mit der Konformitätsbewertung enden. Cybersicherheit ist im Gegensatz zur klassischen Produktsicherheit nicht statisch, deshalb verlangt der CRA über den Supportzeitraum hinweg Updates und Schwachstellenhandling.

Die Konformitätsbewertung folgt den Modulen des New Legislative Framework. Modul A ist die interne Fertigungskontrolle mit Selbstbewertung des Herstellers und gilt für die meisten Standardprodukte. Modul B mit Baumusterprüfung durch eine notifizierte Stelle, kombiniert mit Modul C, oder Modul H mit umfassender Qualitätssicherung kommen für wichtige Produkte in Betracht. Für wichtige Produkte der Klasse 1 ist eine Selbstbewertung nach einer harmonisierten Norm möglich, sobald diese vorliegt. Die europäischen Normungsorganisationen CEN, CENELEC und ETSI arbeiten an diesen Normen, das BSI veröffentlicht dazu ein Standardisierungs-Dashboard.

Für Maschinenbauer fällt der 11. Dezember 2027 mit einem zweiten Stichtag zusammen: Ab dem 20. Januar 2027 gilt die neue Maschinenverordnung (EU) 2023/1230, die ebenfalls Anforderungen an den Schutz vor Korrumpierung und an Software enthält. Beide Rechtsakte greifen ineinander. Die Risikobeurteilung nach der Maschinenverordnung und die Cybersicherheits-Risikobewertung nach dem CRA sollten deshalb in einem gemeinsamen Prozess erstellt werden, damit die technische Dokumentation beide Anforderungen ohne doppelten Aufwand abdeckt. Eine vertiefte Darstellung der Maschinenverordnung bietet unser Beitrag zur EU-Maschinenverordnung 2023/1230.

Quelle: BSI, Cyber Resilience Act, FAQ zu CE-Kennzeichen und Konformitätsbewertungsmodulen

Umsetzungsplan für Hersteller bis zum 11. September

Bis zum Beginn der Meldepflicht bleiben wenige Wochen. Ein vollständiges Schwachstellenmanagement lässt sich in dieser Zeit nicht aufbauen, die Meldefähigkeit dagegen schon. Die folgende Reihenfolge konzentriert sich auf das, was am 11. September funktionieren muss, und legt die Grundlage für die Hauptpflichten 2027.

Schritt 1: Produktinventar und Betroffenheit

Alle Produkte, die das Unternehmen unter eigenem Namen in der EU in Verkehr bringt oder gebracht hat, werden erfasst und darauf geprüft, ob sie digitale Elemente enthalten und vernetzbar sind. Dazu gehören Maschinen mit Steuerung, Komponenten, Zubehör mit Funk- oder Netzwerkanschluss und Software, die mit den Produkten ausgeliefert wird. Für jedes Produkt ist festzuhalten, ob es Standardprodukt, wichtiges Produkt oder kritisches Produkt ist, und ob eine sektorspezifische Ausnahme greift.

Schritt 2: Zuständigkeiten und Erreichbarkeit

Die 24-Stunden-Frist läuft auch am Wochenende. Das Unternehmen benennt mindestens zwei beauftragte Vertreter, die im Namen des Herstellers melden dürfen, legt EU-Login-Konten an und regelt eine Rufbereitschaft oder eine Eskalationskette, die eine Frühwarnung innerhalb von 24 Stunden sicherstellt. Die Entscheidung, ob eine Meldung ausgelöst wird, sollte einer klar benannten Person zugewiesen sein, damit im Ernstfall keine Zeit mit Abstimmungen verloren geht.

Schritt 3: Erkennung und Kenntniserlangung

Die Meldepflicht beginnt mit der Kenntnis. Das Unternehmen muss deshalb Kanäle einrichten, über die Hinweise auf Schwachstellen eingehen und bewertet werden: eine veröffentlichte Kontaktadresse für Sicherheitsmeldungen, die Auswertung von Schwachstellendatenbanken für die eingesetzten Komponenten, Informationen der Komponentenlieferanten und Rückmeldungen aus dem Service. Teil 3 der TR-03183 beschreibt den Umgang mit eingehenden Schwachstellenmeldungen und ist dafür die Referenz.

Schritt 4: Meldeprozess dokumentieren und üben

Für die drei Meldestufen werden Vorlagen angelegt, die die Pflichtfelder der ENISA-Plattform abbilden: Produkt, Art der Schwachstelle, Art des Exploits, getroffene Maßnahmen, Empfehlungen für Nutzer, Datum der Korrekturmaßnahme. Parallel wird der Prozess zur Information der betroffenen Nutzer festgelegt, einschließlich der Frage, welche Kundendaten dafür benötigt werden. Ein Probelauf mit einem fiktiven Fall zeigt, ob die Frist von 24 Stunden tatsächlich eingehalten werden kann.

Schritt 5: SBOM für die wichtigsten Produkte

Für die umsatzstärksten oder am weitesten verbreiteten Produkte wird eine Software-Stückliste nach TR-03183 Teil 2 erstellt. Die Erfahrung zeigt, dass dabei regelmäßig veraltete Bibliotheken und unbekannte Abhängigkeiten sichtbar werden. Die SBOM ist zugleich die Grundlage, um bei bekannt werdenden Schwachstellen in Drittkomponenten schnell festzustellen, welche eigenen Produkte betroffen sind.

Schritt 6: Komponentenlieferanten einbinden

Der Hersteller bleibt für das Gesamtprodukt verantwortlich, auch wenn die Schwachstelle in einer zugekauften Steuerung oder einem Funkmodul liegt. Mit den Lieferanten dieser Komponenten werden Informationswege vereinbart: Wie und wie schnell informiert der Komponentenhersteller über Schwachstellen, wie lange liefert er Updates, und wie wird die SBOM der Komponente bereitgestellt. Diese Vereinbarungen gehören in Einkaufsbedingungen und Qualitätssicherungsvereinbarungen.

Quellen: ENISA, SRP FAQ zu Registrierung, Datenfeldern und Kenntniserlangung; BSI, Technische Richtlinie TR-03183

Was Betreiber und Einkäufer jetzt von Lieferanten verlangen sollten

Betreiber sind nicht meldepflichtig, tragen aber das Betriebsrisiko, wenn Hersteller ihre Pflichten nicht erfüllen. Der CRA sieht Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Ein Hersteller mit unklaren Prozessen trägt damit ein regulatorisches Risiko, das in der Lieferbeziehung als Ausfall-, Verzögerungs- und Informationsrisiko ankommt. Der Deutsche Industrie- und Handelskammertag warnt zudem vor erheblichen Belastungen kleiner Hersteller, von denen einzelne erwägen, Produkte vom Markt zu nehmen. Für Betreiber mit Spezialkomponenten von Nischenanbietern ist das ein Beschaffungsrisiko.

In Lieferantengespräche und Verträge gehören deshalb vier Punkte: Nachweise, dass der Hersteller seine CRA-Prozesse steuert; ein Meldeweg, über den der Betreiber von einer aktiv ausgenutzten Schwachstelle erfährt, parallel zur Behördenmeldung; Zusagen zu Sicherheitsupdates und deren Bereitstellung; und ein definiertes Supportende. Eine allgemeine Zusicherung der Gesetzestreue reicht nicht. Für vernetzte Betriebsausstattung mit langer Nutzungsdauer, etwa Ladeinfrastruktur für Flurförderzeuge, Zutrittssysteme oder Steuerungen von Regalbediengeräten, sollten Einkäufer diese Punkte bereits bei der Ausschreibung abfragen.

Ein praktischer Prüfrahmen für Lieferantengespräche umfasst die Fragen: Wer ist beim Hersteller für die Meldung an CSIRT und ENISA zuständig? Wie gelangt die Information in den Kundenkanal? Welche Unterlieferanten fließen in das Produkt ein? Wie lange läuft der Support, und wie ist die Schwachstellenbehebung danach organisiert? Produkte mit unklarem Supportende oder fehlenden Meldewegen erhöhen das Betriebsrisiko und sollten bei Neuanschaffungen entsprechend bewertet werden.

Quelle: Digital Chiefs, Abschnitte Sanktionen, Verträge und Gegenposition, 13. August 2026

Checkliste CRA-Meldepflicht

Für Hersteller, Eigenmarken-Anbieter und Importeure

• Produktinventar mit allen vernetzbaren Produkten und Komponenten erstellt, Ausnahmen geprüft
• Einstufung als Standardprodukt, wichtiges oder kritisches Produkt dokumentiert
• Mindestens zwei beauftragte Vertreter benannt, EU-Login-Konten angelegt
• Rufbereitschaft oder Eskalationskette für die 24-Stunden-Frist geregelt
• Eingangskanal für Schwachstellenmeldungen veröffentlicht und überwacht
• Meldevorlagen für Frühwarnung, 72-Stunden-Meldung und Abschlussbericht vorbereitet
• Prozess zur Information betroffener Nutzer festgelegt
• SBOM für die wichtigsten Produkte nach TR-03183 Teil 2 erstellt
• Supportzeitraum je Produkt festgelegt und in der Dokumentation angegeben
• Informations- und Updatepflichten mit Komponentenlieferanten vereinbart
• Probelauf des Meldeprozesses durchgeführt

Für Betreiber und Einkäufer

• Vernetzte Betriebsausstattung inventarisiert und nach Betriebsrelevanz priorisiert
• Lieferanten nach Meldeweg, Updates, Supportende und Nachweisen befragt
• Anforderungen in Ausschreibungen und Verträge aufgenommen
• Kritische Nischenlieferanten auf CRA-Fähigkeit geprüft, Alternativen vorbereitet
• Interne Stelle benannt, die Herstellerwarnungen empfängt und bewertet

Fazit

Mit dem 11. September 2026 wird der Cyber Resilience Act erstmals operativ. Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle trifft jeden Hersteller, der ein vernetzbares Produkt auf dem EU-Markt hat, einschließlich Maschinenbauer, Eigenmarken-Anbieter und Importeure vernetzter Betriebsausstattung. Die Fristen von 24 und 72 Stunden sind nur einzuhalten, wenn Zuständigkeiten, Erkennungskanäle und Meldevorlagen vorher stehen und die Software-Stücklisten bekannt sind.

Die Hauptpflichten folgen am 11. Dezember 2027 und fallen mit der neuen Maschinenverordnung zusammen. Wer die Meldefähigkeit jetzt aufbaut, hat die organisatorische Grundlage für die Konformitätsbewertung bereits gelegt. Betreiber sollten die Zeit nutzen, um ihre Lieferanten auf Meldewege, Updates und Supportende zu verpflichten, denn das Risiko einer nicht gemeldeten Schwachstelle landet am Ende in der eigenen Produktion.

Quellen

• Bundesamt für Sicherheit in der Informationstechnik: Cyber Resilience Act, Informationsseite mit FAQ, Stand 7. April 2026
• ENISA: Single Reporting Platform (SRP), Fragen und Antworten, Stand 31. Juli 2026
• Digital Chiefs: CRA zwingt Hersteller zur Meldung binnen 24 Stunden, 13. August 2026

Alle externen Quellen wurden am 24. August 2026 abgerufen und waren zu diesem Zeitpunkt erreichbar. Alle Angaben zum Stand der Umsetzung, insbesondere zur Verfügbarkeit der Single Reporting Platform, geben den Stand vom 24. August 2026 wieder; die Plattform war zu diesem Zeitpunkt noch nicht in Betrieb. Der Rechtstext der Verordnung (EU) 2024/2847 hat Vorrang vor den hier gegebenen Erläuterungen. Dieser Beitrag ersetzt keine rechtliche Beratung im Einzelfall.