CRA-Meldepflicht: Gilt die 24-Stunden-Frist für Sie?

Seit dem 11. September 2026 gilt eine Meldepflicht, die auf den ersten Blick wie ein Thema für Softwarekonzerne und Gerätebauer wirkt: Wer Produkte mit digitalen Elementen herstellt, muss aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden an die Behörden melden. Doch gerade in Firmen mit 10 bis 100 Mitarbeitern lohnt jetzt ein genauer Blick. Denn ob die Pflicht das eigene Haus trifft, ist nicht immer offensichtlich – und eine aktuelle Bitkom-Umfrage zeigt, dass die große Mehrheit der Unternehmen auf diese Frage keine Antwort hat.

Was seit dem 11. September 2026 gilt

Der Cyber Resilience Act (CRA) verpflichtet Hersteller von Produkten mit digitalen Elementen zu Mindeststandards für die Cybersicherheit. Betroffen sind nicht nur vernetzte Geräte wie Router oder industrielle Steuerungen, sondern ausdrücklich auch Software. Die meisten Anforderungen gelten zwar erst für Produkte, die ab dem 11. Dezember 2027 neu auf den EU-Markt kommen. Die Meldepflicht läuft aber bereits – und zwar nach einem engen Zeitplan, wie heise Security berichtet:

• 24 Stunden nach Bekanntwerden ist eine Frühwarnung fällig.
• 72 Stunden nach Bekanntwerden müssen weitere Informationen und eine erste Bewertung vorliegen.
• Bei Schwachstellen ist ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme fällig, etwa eines Patches oder Workarounds.
• Bei schwerwiegenden Sicherheitsvorfällen bleibt für den Abschlussbericht ein Monat nach der 72-Stunden-Meldung.

Gemeldet wird über die zentrale Single Reporting Platform der EU-Agentur ENISA. Eine einmal dort eingereichte Meldung geht anschließend an die zuständigen nationalen CSIRTs und an ENISA. Hersteller müssen also nicht mehrere Stellen einzeln informieren.

Die entscheidende Frage: Sind Sie überhaupt Hersteller?

Für die meisten Leser dürfte dies der wichtigste Punkt sein. Die Meldepflicht richtet sich nicht an Anwender, sondern an Hersteller – genauer an Firmen, die Produkte mit digitalen Elementen entwickeln oder unter eigener Marke vertreiben. Gerade der zweite Fall wird im Mittelstand leicht übersehen: Wer ein fremdes Gerät oder eine fremde Software unter dem eigenen Namen auf den Markt bringt, sollte die Frage der eigenen Betroffenheit umso dringender klären.

Typische Konstellationen, in denen eine Prüfung angebracht ist:

• Sie entwickeln Software – auch nur als Teil eines größeren Angebots.
• Ihre Produkte enthalten vernetzte Steuerungen oder andere digitale Komponenten, etwa Maschinen oder Anlagen mit eigener Steuerungssoftware.
• Sie vertreiben Hard- oder Software unter Ihrer eigenen Marke, auch wenn sie fremd produziert wurde.

Wer dagegen Software und Geräte ausschließlich einsetzt, ist von der Meldepflicht nicht direkt betroffen. Ganz ohne Berührung bleibt das Thema aber auch dann nicht: Ihre Lieferanten sind jetzt zur Meldung verpflichtet, wenn ihre Produkte aktiv angegriffen werden. Das kann mittelfristig bedeuten, dass Sie schneller und verlässlicher Informationen über kritische Lücken in den Produkten erhalten, die Sie einsetzen. Es lohnt sich daher, bei wichtigen Zulieferern nachzufragen, ob diese ihre CRA-Prozesse bereits eingerichtet haben.

Warum 24 Stunden vor allem ein Organisationsproblem sind

Die Frist klingt technisch, ist aber in erster Linie organisatorisch. Um innerhalb eines Tages eine belastbare Frühwarnung abgeben zu können, müssen drei Fragen praktisch sofort beantwortbar sein:

1. Wird die Schwachstelle tatsächlich aktiv ausgenutzt?
2. Welche Produkte und welche Versionen sind betroffen?
3. Wer im Unternehmen gibt die Meldung frei?

Ohne belastbare Inventare für die eigene Software und für zugekaufte Komponenten lässt sich das kaum innerhalb von 24 Stunden klären. Wer nicht weiß, welche Version welches Produkts bei welchem Kunden im Einsatz ist und welche Fremdkomponenten darin stecken, verliert wertvolle Stunden mit Grundlagenrecherche – während die Frist läuft.

Hinzu kommt ein praktisches Problem, das der Bitkom kritisiert: Die Meldeplattform ging erst mit Beginn der Meldepflicht online. Unternehmen konnten sich vorab nicht registrieren und ihre Abläufe nicht erproben. Wer heute zum ersten Mal eine Meldung abgeben muss, tut das auf einer Plattform, die er vorher nie gesehen hat.

Die Zahlen zeigen: Vorbereitung ist die Ausnahme

Wie wenig verbreitet das Thema ist, belegt die Bitkom-Umfrage, über die heise berichtet: Nur 29 Prozent der Unternehmen in Deutschland kennen die Bedeutung der Verordnung für das eigene Haus. Weitere 38 Prozent haben vom CRA gehört, können die Folgen aber nicht einschätzen. 28 Prozent ist die Verordnung völlig unbekannt. Befragt wurden 1003 Unternehmen mit mindestens zehn Beschäftigten und einem Jahresumsatz von mindestens einer Million Euro – also genau die Größenklasse, in der sich viele mittelständische Firmen bewegen.

Eine ehrliche Einschränkung gehört dazu: Die Umfrage misst vor allem die Bekanntheit des CRA. Sie sagt nichts darüber aus, wie viele Firmen ihre Meldewege, Zuständigkeiten und Schwachstellenprozesse bereits praktisch eingerichtet haben. Es ist also gut möglich, dass die tatsächliche Umsetzung noch hinter den ohnehin niedrigen Bekanntheitswerten zurückbleibt – oder dass einzelne Firmen weiter sind, als ihre eigene Einschätzung vermuten lässt. Belegt ist beides nicht.

Was Sie jetzt konkret tun sollten

Unabhängig davon, ob Sie Hersteller sind oder nicht, ergeben sich aus der Meldung klare Aufgaben:

Erstens: Betroffenheit klären. Prüfen Sie, ob Ihr Unternehmen Produkte mit digitalen Elementen entwickelt oder unter eigener Marke vertreibt. Das BSI stellt einen Überblick über den Anwendungsbereich des CRA bereit, der als erster Anlaufpunkt dient. Im Zweifel lohnt eine fachkundige Einschätzung, denn die Einstufung ist die Grundlage für alles Weitere.

Zweitens: Meldeprozess festlegen. Wenn Sie betroffen sind, brauchen Sie einen dokumentierten Ablauf: Wer erkennt eine aktiv ausgenutzte Schwachstelle, wer bewertet sie, wer gibt die Meldung frei, wer reicht sie auf der ENISA-Plattform ein? Dieser Prozess sollte schriftlich fixiert und idealerweise einmal durchgespielt werden, bevor der Ernstfall eintritt.

Drittens: Inventare aufbauen. Eine Software Bill of Materials (SBOM), geregelte Prozesse für den Umgang mit Schwachstellen und eine nachvollziehbare Zuordnung von Sicherheitsupdates zu ausgelieferten Produktversionen sind die zentralen Ansatzpunkte, die die Meldung nennt. Diese Informationen helfen nicht nur beim späteren Konformitätsnachweis, sondern sind die Voraussetzung dafür, den Umfang eines Vorfalls schnell einzugrenzen.

Viertens: Lieferanten einbeziehen. Auch als reines Anwenderunternehmen sollten Sie wissen, ob Ihre wichtigsten Software- und Gerätelieferanten ihre CRA-Pflichten im Griff haben. Deren Meldungen und Patches werden künftig Teil Ihrer eigenen Sicherheitslage.

Fünftens: 2027 im Blick behalten. Die jetzt gestartete Meldepflicht ist nur der erste Schritt. Ab dem 11. Dezember 2027 gelten die meisten Anforderungen für Produkte, die neu auf den EU-Markt kommen. Wer heute Inventare und Prozesse aufbaut, arbeitet bereits auf diesen Termin hin.

Was noch unklar ist

Einige Fragen beantwortet die vorliegende Meldung nicht, und es wäre unseriös, sie mit Vermutungen zu füllen. Welche Sanktionen bei versäumten oder unvollständigen Meldungen drohen, geht aus dem Text nicht hervor. Ebenso offen ist, wie Hersteller in der Praxis zuverlässig feststellen sollen, dass eine Lücke aktiv ausgenutzt wird – die Meldung benennt das als Herausforderung, liefert aber kein Patentrezept. Und wie stabil und praxistauglich die neue Meldeplattform arbeitet, wird sich erst in den kommenden Wochen zeigen, da ein Test vor dem Start nicht möglich war.

Fazit

Die CRA-Meldepflicht ist kein fernes Brüsseler Thema mehr, sondern geltende Pflicht mit einer 24-Stunden-Frist. Für Unternehmen mit 10 bis 100 Mitarbeitern steht am Anfang eine einfache, aber folgenreiche Frage: Stellen wir im Sinne der Verordnung Produkte mit digitalen Elementen her – auch unter eigener Marke? Wer sie mit Ja beantwortet, sollte Meldewege, Zuständigkeiten und Inventare jetzt aufbauen, nicht erst beim ersten Vorfall. Wer sie mit Nein beantwortet, sollte trotzdem wissen, wie seine Lieferanten aufgestellt sind. In beiden Fällen gilt: Die Unternehmen, die jetzt klären, wo sie stehen, gehören zur vorbereiteten Minderheit.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.