Seit dem 11. September gelten in der EU neue Spielregeln für Hersteller von Produkten mit digitalen Elementen. Der Cyber Resilience Act (CRA) verpflichtet Hersteller ab jetzt dazu, aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb enger Fristen zu melden.
Für die einen ist das ein bürokratisches Ungetüm, für die anderen ein längst überfälliger Schritt zu sichereren Smart-Home-Geräten, Apps und IoT-Produkten. Ich zeige euch, was hinter den neuen Meldepflichten steckt, wer betroffen ist und wie die zentrale Meldeplattform der EU-Cybersicherheitsagentur ENISA funktioniert. Und natürlich: was das konkret für euch als Nutzer oder kleines Unternehmen bedeutet.
Was regelt der EU Cyber Resilience Act?
Der Cyber Resilience Act ist eine EU-Verordnung, die horizontale Cybersicherheits-Anforderungen an Produkte mit digitalen Elementen stellt. Gemeint sind damit sowohl Hardware als auch Software: vom smarten Türschloss über die Router-Firmware bis zur Buchhaltungs-App.
Die Verordnung folgt einem gestaffelten Zeitplan. Die vollständigen Pflichten – etwa zu Security-by-Design, Konformitätsbewertungen und CE-Kennzeichnung – greifen erst später. Ab dem 11. September starten aber die Meldepflichten für Schwachstellen und Sicherheitsvorfälle.
Das ist der Teil, der jetzt sofort operativ werden muss.
Hersteller sind verpflichtet, aktiv ausgenutzte Schwachstellen in ihren Produkten sowie schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts beeinträchtigen, an die zuständigen Stellen zu melden. Ziel ist es, ein europaweit einheitliches Bild der Bedrohungslage zu schaffen – und Angriffe früher zu stoppen, bevor sie sich ausbreiten.
Schwachstellenmeldung über die ENISA-Plattform
Die EU-Cybersicherheitsagentur ENISA hat eine zentrale Anlaufstelle geschaffen: die Single Reporting Platform (SRP). Über sie laufen die Meldungen ein und werden an die zuständigen nationalen CSIRTs und Behörden verteilt.
Die Plattform wurde offiziell zum Start der Meldepflichten in Betrieb genommen. Sie ist damit die technische Infrastruktur, über die der CRA in der Praxis funktioniert.
Für Hersteller bedeutet das: Ein Zugang, ein Meldeweg, ein einheitliches Format. Das reduziert den bürokratischen Aufwand deutlich – vor allem für Anbieter, die ihre Produkte in mehreren EU-Ländern vertreiben.
CRA Meldefristen: 24 Stunden bis 14 Tage im Überblick
Der CRA sieht ein gestuftes Meldeverfahren vor. Wird eine aktiv ausgenutzte Schwachstelle oder ein schwerer Sicherheitsvorfall bekannt, müssen Hersteller innerhalb enger Fristen reagieren. Die Verordnung sieht dabei mehrere Meldestufen vor, von der ersten Frühwarnung bis zum abschließenden Bericht nach Behebung der Schwachstelle.
Diese Staffelung ist bewusst gewählt: Die erste Meldung soll schnell Alarm schlagen, ohne dass alle Details schon vorliegen müssen. Die späteren Meldungen liefern dann die Substanz für Analyse und Gegenmaßnahmen. Wer schon einmal mit den Meldepflichten aus der DSGVO oder NIS2 gearbeitet hat, wird das Muster wiedererkennen.
CRA-Auswirkungen: Was ändert sich für kleine Hersteller?
Für euch als Nutzer ist der CRA vor allem eine gute Nachricht. Wenn ein Hersteller weiß, dass eine Schwachstelle in seinem Router, seiner Smart-Home-Zentrale oder seiner App aktiv ausgenutzt wird, kann er das nicht mehr einfach unter den Teppich kehren. Die Meldung an die Behörden ist Pflicht – und daraus folgen oft schnellere Patches und Warnungen.
Für kleine Hersteller und Startups ist die Umstellung anspruchsvoller. Sie müssen interne Prozesse aufsetzen, die überhaupt in der Lage sind, enge Meldefristen einzuhalten. Das erfordert klare Verantwortlichkeiten, erreichbare Ansprechpartner auch am Wochenende und ein funktionierendes Schwachstellenmanagement.
Eine kurze Checkliste, die beim Einstieg hilft:
- Zugang zur SRP vorbereiten und Verantwortliche benennen
- Incident-Response-Prozess dokumentieren, inklusive Eskalationswegen
- Erreichbarkeit außerhalb der Bürozeiten sicherstellen
- Quellen für Schwachstellen-Infos definieren (CVE-Feeds, eigene Telemetrie, Kunden-Meldungen)
- Kommunikationsplan für Kunden und Öffentlichkeit vorbereiten
- Software Bill of Materials (SBOM) pflegen, um Betroffenheit schnell zu prüfen
Wer bereits nach ISO 27001 oder ähnlichen Standards arbeitet, hat vieles davon schon in Grundzügen. Alle anderen sollten die verbleibende Zeit bis zum vollen Geltungsbereich der Verordnung nutzen, um nachzuziehen.
Welche Vorteile bringt der CRA für Verbraucher?
Der CRA wird die Cybersicherheit im europäischen Markt spürbar verändern. Produkte mit dauerhaft unsicherer Firmware und ohne Update-Politik werden es schwerer haben. Hersteller, die Sicherheit ernst nehmen, bekommen einen klaren regulatorischen Rahmen – und einen fairen Wettbewerb gegenüber Anbietern, die bisher an dieser Stelle gespart haben.
Für euch als Käufer heißt das mittelfristig: transparentere Update-Zusagen, schnellere Reaktionen bei bekannten Angriffen und weniger Bastelware im Regal. Der Weg dahin ist bürokratisch, keine Frage. Aber der Ansatz ist richtig. Denn ohne verbindliche Regeln bleibt Cybersicherheit im IoT-Bereich das, was sie viel zu lange war: ein Bonus, kein Standard.
Jetzt kommt es darauf an, dass ENISA und die nationalen Behörden die Meldungen auch tatsächlich in Schutz für Nutzer übersetzen – schnell, verständlich und öffentlich zugänglich.
Quellen und Prüfstand
- Offizielle Quelle: Cyber Resilience Act | Shaping Europe’s digital future (digital-strategy.ec.europa.eu)
- Offizielle Quelle: The CRA Single Reporting Platform is launched | ENISA (enisa.europa.eu)
- Offizielle Quelle: Single Reporting Platform (SRP) | ENISA (enisa.europa.eu)
Faktenprüfung: Alle überprüfbaren Aussagen wurden am 14.09.2026 automatisiert gegen die offiziellen Primärquellen abgeglichen. Stand des Artikels: 14.09.2026.
