Vierundzwanzig Stunden
Seit dem 11. September 2026 gilt eine neue Uhr für einen bestimmten Kreis von Unternehmen: Wird eine Schwachstelle in einem ihrer Produkte aktiv ausgenutzt, bleiben ihnen 24 Stunden für die erste Meldung. Der Cyber Resilience Act ist damit von der Ankündigung zur Frist geworden — und zwar für Produkte, die längst auf dem Markt sind, nicht nur für neue.
Was am 11. September in Kraft trat
Der Cyber Resilience Act (CRA) trat bereits am 10. Dezember 2024 in Kraft. Seine vollständige Anwendung — verpflichtende Sicherheitsanforderungen und Konformitätsbewertung für neue Produkte — beginnt erst am 11. Dezember 2027. Dazwischen liegt ein früherer Stichtag, der mit dem 11. September 2026 erreicht wurde: Seit diesem Datum, 21 Monate nach dem Inkrafttreten, sind die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle verbindlich — deutlich früher als der Rest des Gesetzes, weil der Gesetzgeber diesen Teil bewusst vorgezogen hat.
Der Unterschied zu vielen anderen EU-Fristen ist der Geltungsbereich: Diese Pflicht betrifft nicht nur Produkte, die ab jetzt neu auf den Markt kommen, sondern auch alles, was bereits im Umlauf ist. Ein Produkt aus dem vergangenen Jahr ist von der Meldepflicht genauso erfasst wie eines, das nächste Woche erscheint. Wer sich bislang auf die längere Frist bis Ende 2027 verlassen hat, sollte diesen Unterschied nicht übersehen.
Der Dreiklang: 24 Stunden, 72 Stunden, vierzehn Tage
Die Meldung läuft gestaffelt über die Single Reporting Platform (SRP) der EU-Agentur ENISA, gleichzeitig an das zuständige nationale CSIRT und an ENISA selbst. Eine erste Frühwarnung ist binnen 24 Stunden nach Kenntnisnahme fällig — nicht nach Bestätigung, sondern nach dem ersten belastbaren Hinweis. Nach 72 Stunden folgt eine ausführlichere Meldung mit dem bis dahin bekannten Sachstand, einschließlich bereits getroffener oder verfügbarer Gegenmaßnahmen. Ein abschließender Bericht — was die Schwachstelle ist, wer sie ausnutzt, wie sie behoben wird — ist nach 14 Tagen fällig. Alle drei Meldungen laufen über dieselbe Plattform, es ist also kein dreifacher Verwaltungsweg, sondern eine einzige Anlaufstelle mit drei Zeitpunkten.
Für Kleinst- und Kleinunternehmen gilt eine Erleichterung: Wird allein die 24-Stunden-Frist für die Frühwarnung überschritten, darf dafür kein Bußgeld verhängt werden. Die 72-Stunden- und die 14-Tage-Frist bleiben davon unberührt.
Wer „Hersteller" ist — und wen es nicht betrifft
Die Pflicht trifft Hersteller von „Produkten mit digitalen Elementen" — ein bewusst weiter Begriff, der Hardware und Software gleichermaßen erfasst, sobald ein Produkt direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden kann. Wer ein solches Produkt kommerziell auf den EU-Markt bringt, ist erfasst, unabhängig davon, ob es sich um eine Maschine mit eingebetteter Software oder um ein eigenständiges Softwareprodukt handelt.
Reine Cloud-Dienste fallen dagegen grundsätzlich nicht darunter — nur wenn eine Datenverarbeitung aus der Ferne fest zu einem Produkt gehört, zählt sie mit. Ausgenommen sind außerdem Bereiche, für die eigene, mindestens gleichwertige Regeln gelten: Medizinprodukte, Fahrzeuge, Rüstungsgüter. Wer nur intern genutzte Software betreibt, ohne sie an Dritte zu liefern, bringt damit nichts auf den Markt und fällt ebenfalls nicht darunter.
Der Anschluss an die vergangene Woche
Diese Meldepflicht steht nicht für sich. In der Ausgabe vom 6. September 2026 ging es an dieser Stelle um die Produkthaftungsrichtlinie, die Software ab Dezember erstmals ausdrücklich als Produkt einstuft. Beide Regelwerke laufen auf dieselbe Verschiebung hinaus: Wer Software herstellt und liefert, trägt zunehmend Pflichten, die früher nur für Maschinen und Geräte galten — einmal bei der Haftung für Fehler, jetzt bei der Meldung von Sicherheitslücken.
Wer prüfen will, ob er betroffen ist, stellt sich am besten dieselbe Frage wie letzte Woche bei der Herstellerrolle: Wird hier etwas mit digitalen Elementen an Dritte geliefert, das sich mit einem Netz verbinden lässt — und ist es schon am Markt?
Was das für Unternehmen bedeutet
Wer Produkte mit digitalen Elementen herstellt und liefert, sollte jetzt klären, ob ein Meldeweg zum zuständigen CSIRT und zur ENISA-Plattform steht — die Frist läuft ab Kenntnisnahme, nicht ab Einrichtung des Prozesses. Wer erst nach einer aktiv ausgenutzten Schwachstelle anfängt, herauszufinden, wer intern meldepflichtig ist und wie die SRP funktioniert, verbraucht einen Teil der 24 Stunden allein mit der eigenen Organisation.
Für Versicherer ist die Meldepflicht auch aus einer zweiten Richtung interessant: Sie verändert, was ihre gewerblichen Kunden im Cyber-Geschäft künftig offenlegen müssen und wie schnell eine ausgenutzte Schwachstelle aktenkundig wird — ein Faktor, der in die Einschätzung von Cyberrisiken einfließt, ohne dass ein Haus selbst Hersteller sein muss. Wo bisher Monate vergehen konnten, bis ein Vorfall überhaupt dokumentiert war, entsteht jetzt binnen Tagen ein amtlich erfasster Zeitstrahl — Material, das auch für die Schadenbearbeitung relevant wird.