EA Digital Solutions

Cyber Resilience Act

Cyber Resilience Act: Meldepflicht seit 11. September 2026. Wir richten sie ein.

Der Cyber Resilience Act gilt für Hersteller von Produkten mit digitalen Elementen, also auch für eigenständige Software und Apps, die in der EU auf den Markt kommen. Seit 11. September 2026 gelten die Meldepflichten, ab 11. Dezember 2027 alle übrigen Pflichten. Wir klären mit Ihnen, ob Ihr Produkt erfasst ist, richten den 24-Stunden-Meldeweg ein und bauen SBOM, Abhängigkeits-Überwachung und Update-Prozess in Ihre Entwicklung ein.

  • Software, Apps, vernetzte Geräte
  • Technik und Dokumentation aus einer Hand
  • Antwort in unter 24 h
Schriftlich anfragen

Kurz gesagt

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller von Hardware und Software, die in der EU in Verkehr gebracht wird, zu Cybersicherheit über den ganzen Lebenszyklus. Seit 11. September 2026 müssen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, danach ein Abschlussbericht. Das gilt auch für Produkte, die schon auf dem Markt sind. Ab 11. Dezember 2027 gelten die übrigen Pflichten, darunter Security by Design, Schwachstellenbehandlung, SBOM, Supportzeitraum und CE-Kennzeichnung.

Die wichtigsten Fakten

Meldepflicht seit 11. September 2026
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit des Produkts beeinträchtigen, sind über die zentrale Meldeplattform an das zuständige CSIRT und die ENISA zu melden (Art. 14).
24 Stunden, 72 Stunden, Abschlussbericht
Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden. Abschlussbericht bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei Vorfällen binnen eines Monats nach der Meldung.
Auch für Produkte auf dem Markt
Die übrigen Pflichten gelten für ältere Produkte nur bei wesentlicher Änderung; die Meldepflicht gilt dagegen für alle erfassten Produkte, auch wenn sie vor Dezember 2027 in Verkehr gebracht wurden (Art. 69).
Ab 11. Dezember 2027: alles andere
Grundlegende Sicherheitsanforderungen (Anhang I), Schwachstellenbehandlung mit SBOM, Supportzeitraum mit Sicherheitsupdates, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung.
Auch für Hersteller außerhalb der EU
Maßgeblich ist, ob das Produkt in der EU auf den Markt kommt, nicht wo der Hersteller sitzt.
Bußgelder
Bei Verstößen gegen die grundlegenden Anforderungen und die Pflichten nach Art. 13 und 14 bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, was höher ist (Art. 64).

Stand: 26.10.2026 · Allgemeine Information, keine Rechtsberatung.

Wer betroffen ist

  • Hersteller von Software, die als Produkt vertrieben wird: Desktop- und Mobile-Apps, installierbare Software, Firmware.
  • Hersteller von vernetzter Hardware und IoT-Geräten, einschließlich der zugehörigen Software und Fernverarbeitung.
  • Unternehmen außerhalb der EU, die solche Produkte in der EU anbieten, sowie Importeure und Händler mit eigenen Pflichten.
  • Open-Source-Software, die außerhalb einer Geschäftstätigkeit entwickelt wird, ist nicht erfasst. Wer Open Source im Rahmen einer Geschäftstätigkeit vermarktet, ist Hersteller; für Open-Source-Stewards gelten eigene, leichtere Pflichten.

Ob Ihr Produkt erfasst ist und welcher Kategorie es angehört, hängt vom Einzelfall ab. Reine Software as a Service fällt in der Regel unter NIS2 statt unter den CRA, außer sie ist Fernverarbeitung eines Produkts. Wir gehen das im Erstgespräch mit Ihnen durch; die rechtliche Einstufung bestätigt im Zweifel eine Anwältin oder ein Anwalt.

Was wir für Sie tun

  1. 1

    Betroffenheit klären

    Kostenloses Erstgespräch: Welche Produkte, welche Märkte, welche Rolle haben Sie? Danach wissen Sie, was seit September 2026 gilt und was bis Dezember 2027 zu tun ist.

  2. 2

    Meldeweg für 24 Stunden

    Ablaufplan mit Verantwortlichen, Vertretung und Vorlagen für Frühwarnung, Meldung und Abschlussbericht, dazu ein Eingangskanal für Schwachstellenhinweise von außen.

  3. 3

    SBOM und Abhängigkeiten im Build

    Automatisch erzeugte Software-Stückliste bei jedem Build und Überwachung der Abhängigkeiten auf bekannte Schwachstellen, mit Benachrichtigung an die Zuständigen.

  4. 4

    Sicherer Update-Prozess

    Signierte Updates, nachvollziehbare Releases, Trennung von Sicherheits- und Funktionsupdates, dokumentierter Supportzeitraum.

  5. 5

    Dokumentation für die Konformität

    Risikobewertung, technische Dokumentation und Nachweise so aufbereitet, dass Sie die Konformitätsbewertung selbst durchführen oder an eine benannte Stelle übergeben können.

Für Zertifizierungen und Produkte, die eine Prüfung durch eine benannte Stelle brauchen, arbeiten wir mit spezialisierten Partnern zusammen.

Kostenlos vorab prüfen

Kostenlose Checkliste

Cyber-Resilience-Act-Checkliste: 15 Punkte für Hersteller von Software und Geräten

Cyber-Resilience-Act-Checkliste: 15 Punkte für Hersteller von Software und Geräten

Für Produkte mit digitalen Elementen, die Sie in der EU anbieten. Die ersten fünf Punkte betreffen die Meldepflicht, die seit 11. September 2026 gilt; der Rest muss bis 11. Dezember 2027 stehen.

Meldepflicht, Schwachstellen-Management, SBOM, Updates und Dokumentation: die 15 Punkte für den Cyber Resilience Act, als PDF zum Ausdrucken.

E-Mail eingeben, um den vollständigen Inhalt zu erhalten

Kostenlos herunterladen — E-Mail eingeben

Sie melden sich damit auch zu unserem Newsletter an (zweimal im Monat). Abmeldung jederzeit.

Häufige Fragen

Gilt der Cyber Resilience Act für unsere Software?

Wenn Sie Software oder ein vernetztes Gerät als Produkt in der EU anbieten, sehr wahrscheinlich: Der CRA erfasst Produkte mit digitalen Elementen, auch eigenständige Software und Apps. Reine SaaS ohne zugehöriges Produkt fällt in der Regel nicht darunter. Wir klären das im Erstgespräch.

Was gilt schon jetzt?

Seit 11. September 2026 die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, auch für Produkte, die bereits verkauft werden. Alle anderen Pflichten gelten ab 11. Dezember 2027.

Wir sitzen nicht in der EU. Betrifft uns das?

Ja, wenn Sie Ihr Produkt in der EU anbieten. Entscheidend ist der Markt, nicht der Firmensitz.

Müssen wir eine SBOM veröffentlichen?

Nach den uns vorliegenden Quellen nein: Hersteller müssen eine Software-Stückliste erstellen und dokumentieren, eine Veröffentlichung ist nicht vorgeschrieben. Sie muss der Marktüberwachung auf Verlangen vorgelegt werden können.

Beraten Sie rechtlich?

Nein. Wir setzen die technischen und organisatorischen Maßnahmen um und bereiten die Dokumentation vor. Für die rechtliche Einstufung empfehlen wir im Zweifel eine Anwältin oder einen Anwalt.

Quellen

Verwandte Leistungen