Mittelstandspresse
10.09.2026
Cyber Resilience Act (CRA): Erste Meldepflichten ab 11. September 2026
TÜV Rheinland: „Stresstest der CRA-Readiness“ / Fachleute unterstützen Hersteller von Produkten mit digitalen Elementen bei der Umsetzung der neuen EU-Anforderungen
Köln, 10.09.2026 (PresseBox) - Ob vernetztes Haushaltsgerät, industrielle Steuerung, Router oder Softwarelösung: Viele Produkte mit digitalen Elementen fallen unter die Meldepflichten des Cyber Resilience Act (CRA). Hersteller müssen ab dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle fristgerecht über die zentrale EU-Meldeplattform melden. „Für viele Unternehmen ist das der erste konkrete Stresstest ihrer CRA-Readiness“, sagt Stefan Eigler, Experte für Cybersicherheit und Segment Manager „Mastering Risk & Compliance“ bei TÜV Rheinland.
Schwachstellen und Vorfälle: CRA mit klaren Vorgaben
Gemäß CRA müssen Hersteller eine Schwachstelle in einem eigenen Produkt melden, wenn sie aktiv ausgenutzt wird und der Hersteller davon erfährt. Dann gelten folgende Fristen: Innerhalb von 24 Stunden muss eine Frühwarnung erfolgen, innerhalb von 72 Stunden eine ergänzende Meldung. Außerdem ist ein Abschlussbericht spätestens 14 Tage nach einer Abhilfe- oder Risikominderungsmaßnahme vorgeschrieben.
Meldepflichtig sind außerdem schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken. Auch hier gelten eine Frühwarnung innerhalb von 24 Stunden und eine Vorfallmeldung innerhalb von 72 Stunden; der Abschlussbericht ist spätestens einen Monat nach der Vorfallmeldung einzureichen.
Nicht jede Schwachstelle ist meldepflichtig
Wichtig ist: Nicht jede Schwachstelle löst eine CRA-Meldung aus. „Ein Eintrag in der Schwachstellendatenbank Common Vulnerabilities and Exposures – CVE – oder das Ergebnis eines Penetrationstests allein begründen noch keine Meldepflicht. Entscheidend ist bei einer Schwachstelle, ob eine aktive Ausnutzung bekannt ist“, erklärt Regulierungsexperte Eigler.
Aktuell gehen viele Unternehmen bei der CRA-Umsetzung noch von falschen Annahmen aus. „Einige nehmen immer noch an, dass die Meldepflicht erst ab Dezember 2027 gilt und nicht schon ab dem 11. September 2026. Auch die Annahme, nur Hersteller wichtiger oder kritischer Produkte seien betroffen, ist falsch“, so Eigler. Denn die Meldepflicht gilt grundsätzlich für Hersteller aller Produkte mit digitalen Elementen, die in den Anwendungsbereich des CRA fallen. Sie erfasst zudem auch entsprechende Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
CRA-Meldepflichten für Produkte mit digitalen Elementen
Der Cyber Resilience Act der Europäischen Union (EU) ist am 10. Dezember 2024 in Kraft getreten. Ziel der Verordnung ist es, die Cybersicherheit von Produkten mit digitalen Elementen über ihren gesamten Lebenszyklus hinweg zu erhöhen. Der CRA erfasst grundsätzlich Hardware- und Softwareprodukte, die unmittelbar oder mittelbar mit einem Gerät oder Netz verbunden sind.
Auch Hersteller mit Sitz außerhalb der EU betroffen
Dazu können beispielsweise Software, vernetzte Geräte, Maschinen mit vernetzter Steuerung, Industrie-4.0-Komponenten, Netzwerkkomponenten und Embedded Systems gehören. Entscheidend ist stets die Prüfung des konkreten Produkts und möglicher gesetzlicher Ausnahmen. Auch Hersteller mit Sitz außerhalb der EU müssen die Anforderungen beachten, wenn sie erfasste Produkte auf dem EU-Markt bereitstellen.
TÜV Rheinland unterstützt bei der CRA-Readiness
Die CRA-Expertinnen und -Experten von TÜV Rheinland unterstützen Unternehmen dabei, den Handlungsbedarf zu bewerten, die Anforderungen des CRA einzuordnen, bestehende Prozesse zu überprüfen sowie Melde- und Incident-Response-Prozesse aufzubauen. Unternehmen sollten frühzeitig sicherstellen, dass Schwachstellen und Sicherheitsvorfälle erkannt, bewertet und bei Bedarf fristgerecht gemeldet werden können.
Hierzu gehören klar definierte Verantwortlichkeiten, dokumentierte Entscheidungs- und Meldewege sowie kurzfristig verfügbare technische Informationen. Ebenfalls vorzubereiten ist die unverzügliche Information betroffener Nutzerinnen und Nutzer über Vorfälle und erforderliche Korrektur- oder Risikominderungsmaßnahmen. Weitere Informationen unter www.tuv.com/c-r-a.
Ansprechpartner
Alexander Schneider
+49 (221) 806-5210
Zuständigkeitsbereich: Senior Communication Manager
Über TÜV Rheinland:
Die Welt zu einem sicheren Ort machen: Dafür steht die TÜV Rheinland AG als einer der international führenden Prüfdienstleister – seit über 150 Jahren. Mehr als 29.000 Mitarbeitende prüfen, testen und zertifizieren Produkte, Anlagen und Prozesse und trainieren Menschen in zahlreichen Berufen – an 500 Standorten in gut 50 Ländern rund um den Globus. Als Teil der Qualitätsinfrastruktur mit Hauptsitz in Köln und einem jährlichen Umsatz von rund 3 Milliarden Euro bringt TÜV Rheinland Sicherheit in zentrale Lebens- und Wirtschaftsbereiche. Seit 2006 ist das Unternehmen Mitglied im UN Global Compact gegen Korruption und für mehr Nachhaltigkeit. Website: www.tuv.com
Datei-Anlagen:
(423 kB)
1627267.attachment
Der Cyber Resilience Act der EU soll für bessere Cybersicherheit bei Produkten mit digitalen Elementen sorgen.
- Mehr Infos zu dieser Meldung unter www.pressebox.de
- zurück zur Übersicht
