Die Meldepflicht der EU-Verordnung zur Cyber Resilience Act (CRA) ist am 11. September 2026 in Kraft getreten. Hersteller müssen ab sofort aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle melden. Die Fristen sind eng: Eine Vorwarnung ist innerhalb von 24 Stunden erforderlich, weitere Informationen und eine vorläufige Bewertung müssen innerhalb von 72 Stunden eingereicht werden. Für Schwachstellen folgt ein abschließender Bericht spätestens 14 Tage nach Verfügbarkeit einer Behebungsmaßnahme, bei Sicherheitsvorfällen beträgt die Frist einen Monat nach dem 72-Stunden-Bericht.

Eine Bitkom-Umfrage zeigt erhebliche Unpreparierheit: Nur 29 Prozent der deutschen Unternehmen verstehen die Bedeutung der CRA vollständig, weitere 38 Prozent haben von der Regelung gehört, können aber deren Konsequenzen nicht einschätzen. Bitkom kritisiert zudem, dass die zentrale Single Reporting Platform der EU-Agentur ENISA erst am Tag des Meldepflichtstarts online ging, weshalb Unternehmen ihre Prozesse nicht vorab testen konnten.

Kernpunkte:

• Die ersten Meldepflichten der Cyber Resilience Act (CRA) beginnen heute, 11. September 2026.
• Nur 29 Prozent der Unternehmen in Deutschland kennen die Bedeutung der EU-Verordnung für ihr eigenes Geschäft.
• Weitere 38 Prozent haben von der Verordnung gehört, können aber ihre Konsequenzen nicht bewerten.

Quelle: ix (Deutsch)