Was das ist
Der Cyber Resilience Act regelt die Cybersicherheit von „Produkten mit digitalen Elementen“: Software, Apps, vernetzte Geräte, Steuerungen, Maschinen mit Netzwerkanschluss. Hersteller, Importeure und Händler müssen sicherstellen, dass diese Produkte ohne bekannte Schwachstellen auf den Markt kommen und über die Nutzungsdauer sicher bleiben. Die Verordnung gilt in Stufen: Meldepflichten ab 11. September 2026, alle übrigen Pflichten ab 11. Dezember 2027.
Was das für Sie heißt
- Prüfen Sie, ob Sie Hersteller sind. Wer Software entwickelt, ein Gerät mit Firmware verkauft oder ein Produkt unter eigenem Namen vertreibt, ist es. Auch der Maschinenbauer, dessen Anlage eine Fernwartungsschnittstelle hat.
- Ab September 2026: Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle binnen 24 Stunden an die ENISA-Plattform melden, Vollmeldung nach 72 Stunden. Meldeweg und Zugang vorher einrichten.
- Ab Dezember 2027: Sicherheit von Anfang an, keine Standardpasswörter, Schwachstellenmanagement, Sicherheitsupdates für die Supportdauer (Regelfall fünf Jahre), technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung. Ohne CE kein Marktzugang.
Der typische Fehler
Ein Softwareanbieter plant, das Thema „2027 anzugehen“. Im Oktober 2026 wird eine Schwachstelle in seinem Produkt aktiv ausgenutzt. Er erfährt es von einem Kunden, hat keinen Meldeprozess, keinen ENISA-Zugang und meldet nach neun Tagen. Die Meldepflicht galt seit vier Wochen. Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des Umsatzes.
Rechtsgrundlage
Verordnung (EU) 2024/2847; Art. 13 (Herstellerpflichten); Art. 14 (Meldepflichten); Art. 71 (Geltung: Meldepflichten ab 11.9.2026, übrige Pflichten ab 11.12.2027); Art. 64 (Sanktionen)