Zuletzt aktualisiert am 12. August 2026
Meldepflichten im Zusammenhang mit dem Cyber Resilience Act (CRA) anzeigen
Zielsetzungen
Die verbindlichen Anforderungen an die Cybersicherheit für Produkte mit digitalen Elementen, die auf dem EU-Markt angeboten werden, sind imCyber Resilience Act (CRA) festgelegt. Mit dem Cyber Resilience Act (CRA) sind zudem spezifische Meldepflichten verbunden, die Hersteller und Anbieter beachten müssen. Während das Gesetz in seiner Gesamtheit am 11. Dezember 2027 in Kraft tritt, führtArtikel 14bereits ab dem 11. September 2026 strenge Fristen fürdie Meldung vonSchwachstellen und Vorfällen ein. Zu den Hauptzielen gehören unter anderem:
- Ein schnelles Erkennen aktiver Sicherheitslücken im Ökosystem erzwingen.
- Schaffung einer einheitlichen Melde-Pipeline überdie ENISA (Agentur der Europäischen Union für Cybersicherheit)unddie nationalenComputer-Sicherheits-Notfallteams (CSIRTs).
- Um Verbraucher und Unternehmen vor besonders schwerwiegenden Vorfällen zu schützen.
- Bei schwerwiegenden Verstößen gegen wesentliche Anforderungen an die Cybersicherheit sollen hohe Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) verhängt werden.
Wichtige Termine und Etappenziele
11. September 2026
Die Meldepflichten gemäß Artikel 14 treten in Kraft.
Dies ist der erste wichtige Meilenstein des Cyber-Resilience-Gesetzes. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Dies gilt sowohl für neue Produkte als auch für bereits in Verkehr gebrachte Produkte. Bitte beachten Sie, dass zwar eine Meldepflicht besteht, jedoch keine gesetzliche Frist für eine endgültige Behebung festgelegt ist.
Innerhalb von 24 Stunden nach Bekanntwerden
Phase 1: Frühwarnung
Der Countdown beginnt genau in dem Moment, in dem Sie die Sicherheitslücke bestätigen – das heißt, wenn eine erste Schnellbewertung eine hinreichende Gewissheit darüber liefert, dass es sich tatsächlich um einen Exploit oder einen Vorfall handelt. Innerhalb von 24 Kalenderstunden müssen Sie eine Frühwarnung an Ihr zuständiges CSIRT und an die ENISA übermitteln.
- Sicherheitslücken:
- Es müssen die EU-Mitgliedstaaten angegeben werden, in denen das Produkt erhältlich ist.
- Vorfälle:
- Es muss angegeben werden, ob der Verdacht besteht, dass das Ereignis durch rechtswidrige oder böswillige Handlungen verursacht wurde.
Innerhalb von 72 Stunden nach Bekanntwerden
Phase 2: Die detaillierte Benachrichtigung
Die Frist läuft auch an Wochenenden und Feiertagen weiter. Spätestens nach 72 Stunden müssen Sie eine eingehendere technische Analyse vorlegen.
- Sicherheitslücken:Geben Sie allgemeine Produktinformationen, die Art des Exploits und erste Abhilfemaßnahmen für Benutzer an.
- Vorfälle:Geben Sie die Art des Vorfalls, die Zeitstempel des Auftretens bzw. der Erkennung, erste Auswirkungsanalysen sowie Maßnahmen zur Behebung an.
Innerhalb von 14 Tagen nach Behebung (Sicherheitslücken)
Phase 3A: Der abschließende Schwachstellenbericht
Die Frist für den abschließenden Schwachstellenbericht beginnt nicht mit der ersten Kenntnisnahme. Sie beginnt vielmehr in dem Moment, in dem ein Patch, ein Sicherheitsupdate oder eine Abhilfemaßnahme verfügbar wird. Sie haben ab diesem Zeitpunkt 14 Tage Zeit, um einen abschließenden Bericht einzureichen, in dem die Schwere der Schwachstelle (z. B. anhanddes Common Vulnerability Scoring System (CVSS)), die Auswirkungsanalyse sowie Daten zu den Angreifern detailliert dargelegt werden.
Innerhalb eines Monats nach Meldung (Vorfälle)
Phase 3B: Der abschließende Vorfallsbericht
Im Gegensatz zu Sicherheitslücken unterliegen schwerwiegende Vorfälle einem strengen, vorhersehbaren Zeitrahmen. Genau einen Monat nach Ihrer detaillierten Meldung (72-Stunden-Zeitfenster) müssen Sie einen abschließenden Nachbericht vorlegen, in dem die Grundursache, langfristige Abhilfemaßnahmen und systemische Auswirkungen dargelegt werden.
11. Dezember 2027
Alle Bestimmungen des Cyber-Resilience-Gesetzes treten in Kraft.
Die vollständige Einhaltung der Vorschriften – einschließlich der obligatorischen Verwaltung von Software-Stücklisten (SBOM), öffentlicher zentraler Anlaufstellen und Arbeitsabläufe zum Umgang mit Sicherheitslücken – wird rechtsverbindlich. Produkte, die diese Anforderungen nicht erfüllen, dürfen nicht auf den EU-Märkten verkauft werden.
Was ist gemäß Artikel 14 NICHT meldepflichtig?
Viele Entwickler überschätzen erheblich, welche Unterlagen bei den Behörden eingereicht werden müssen. Folgendes löst den Countdown gemäß § 14 nicht aus:
- Ergebnisse des Schwachstellenscanners:
- Unbestätigte „Common Vulnerabilities and Exposures“ (CVE)-Meldungen eines Abhängigkeitsscanners werden nur dann berücksichtigt, wenn eine aktive Ausnutzung nachgewiesen ist.
- Tipps für externe Sicherheitsforscher:
- Koordinierte Offenlegungen bleiben interne Angelegenheiten, bis eine aktive Ausnutzung oder eine Kompromittierung der CI/CD-Pipeline nachgewiesen ist. Eine Kompromittierung der CI/CD-Pipeline liegt vor, wenn eine unbefugte Partei in einen Workflow zur Software-Erstellung, -Prüfung oder -Bereitstellung eindringt.
- Ergebnisse interner Penetrationstests/Audits:
- Entdeckte Fehler müssen nicht gemeldet werden, wenn sie in der Praxis noch nicht ausgenutzt wurden.
- Kleinere Vorfälle:
- Ereignisse, die nicht die Sicherheit betreffen, wie beispielsweise ein Ausfall der Verfügbarkeit einer einfachen Unternehmenswebsite, fallen nicht in den Geltungsbereich.
Checkliste für die Vorbereitung in 5 Schritten
Um sicherzustellen, dass Ihr Entwicklungsteam rechtzeitig vor Ablauf der Frist im September bereit ist, müssen Sie einen operativen Rahmen schaffen:
- Zuständigkeit zuweisen:
- Benennen Sie einen Berichtspflichtigen, einen Stellvertreter und geben Sie Ihr zuständiges nationales CSIRT an.
- Produktdaten zusammenstellen:
- Halten Sie aktuelle Versionshistorien, Listen der EU-Länder, in denen Sie verkaufen, sowie übersichtliche Kundenkontaktdaten bereit.
- Stufenweise Vorlagen erstellen:
- Vorgefertigte Vorlagen für die Benachrichtigungen nach 24 Stunden, 72 Stunden, die abschließende Benachrichtigung und die Benutzerbenachrichtigungen.
- Schnelle Triage organisieren:
- Richten Sie eine zentrale Anlaufstelle für Fehlermeldungen ein, damit die ersten Untersuchungen unverzüglich beginnen können.
- Führen Sie eine Simulationsübung durch:
- Führen Sie eine simulierte Tabletop-Exploit-Übung durch, um Engpässe im Arbeitsablauf zu identifizieren.
- Führen Sie eine simulierte Tabletop-Exploit-Übung durch, um Engpässe im Arbeitsablauf zu identifizieren.
Schlussfolgerung
Möchten Sie Ihren Entwicklungs-Workflow auf das Gesetz zur Cyber-Resilienz vorbereiten? Wenn Sie eingebettete Systeme entwickeln und diese strengen SLA-Fenster ohne spezielle Sicherheitsbeauftragte einhalten müssen, können automatisierte Tools – wie sie beispielsweise vom Yocto Project® bereitgestellt werden – diese Lücke schließen. Automatisierte Triage-Prozesse schützen Ihr Entwicklungsteam, indem sie die Zeitstempel der ersten Meldungserfassung von Ihrer offiziellen rechtlichen „Awareness“-Countdown-Uhr entkoppeln.
Seien Sie gespannt auf unsere bevorstehende Schulung zum Thema „CRA-Konformität mit dem Yocto Project®“.
Verwandte Links
Anhang
Wenn Sie mehr darüber erfahren möchten, wie Embedded Linux funktioniert und wie Linux mit Echtzeitfunktionen eingesetzt wird, klicken Siehier. Weitere Informationen zum Yocto Project® finden Siehier.
