Der Cyber Resilience Act nimmt Hersteller von vernetzter Hardware und Software stärker in die Verantwortung. Seit dem 11. September 2026 gelten bereits verbindliche Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Die übrigen Anforderungen der europäischen Verordnung werden ab dem 11. Dezember 2027 vollständig anwendbar.
Betroffen sein können nicht nur große Technologiekonzerne. Auch mittelständische Softwareanbieter, Hersteller vernetzter Geräte, Anbieter industrieller Steuerungslösungen oder Unternehmen, die digitale Produkte unter ihrem eigenen Namen vertreiben, sollten ihre Rolle prüfen.
Für Unternehmen in Düsseldorf, Köln und NRW ist jetzt entscheidend, die eigenen Produkte, Softwarekomponenten und Meldewege zu kennen. Denn die neuen Fristen sind kurz: Eine erste Warnung kann bereits innerhalb von 24 Stunden erforderlich sein.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act ist eine unmittelbar geltende EU-Verordnung. Er legt einheitliche Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen fest, die auf dem europäischen Markt bereitgestellt werden.
Dazu gehören sowohl Hardwareprodukte als auch eigenständige Software. Entscheidend ist, dass das Produkt direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden kann.
Mögliche Beispiele sind:
- vernetzte Maschinen und Steuerungssysteme
- Router, Firewalls und Netzwerkkomponenten
- Smart-Home-Produkte und IoT-Geräte
- mobile Apps und Desktopanwendungen
- Buchhaltungs- und Unternehmenssoftware
- Betriebssysteme und Softwarekomponenten
- Passwortmanager und Sicherheitsprogramme
- Mikroprozessoren und eingebettete Systeme
Der Cyber Resilience Act betrachtet die Sicherheit dieser Produkte über ihren gesamten Lebenszyklus. Hersteller sollen Sicherheitsrisiken bereits bei der Entwicklung berücksichtigen, Schwachstellen überwachen, Updates bereitstellen und Nutzer transparent über den Supportzeitraum informieren.
Welche Pflichten gelten seit September 2026?
Die vollständigen Produktanforderungen gelten erst ab Dezember 2027. Ein wichtiger Teil des Cyber Resilience Act ist jedoch bereits seit dem 11. September 2026 verbindlich.
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, wenn diese die Sicherheit eines Produkts mit digitalen Elementen betreffen.
Frühwarnung innerhalb von 24 Stunden
Sobald ein Hersteller Kenntnis von einem meldepflichtigen Sachverhalt erhält, muss grundsätzlich innerhalb von 24 Stunden eine Frühwarnung abgegeben werden.
Zu diesem Zeitpunkt müssen noch nicht alle technischen Details bekannt sein. Unternehmen sollten aber bereits einordnen können, welches Produkt betroffen ist, um welche Art von Ereignis es sich handelt und welche ersten Auswirkungen erkennbar sind.
Vollständige Meldung innerhalb von 72 Stunden
Innerhalb von 72 Stunden ist eine ausführlichere Meldung erforderlich. Sie ergänzt die Frühwarnung um weitere Informationen zur Schwachstelle oder zum Vorfall, zu möglichen Auswirkungen und zu bereits eingeleiteten Maßnahmen.
Bei aktiv ausgenutzten Schwachstellen ist außerdem spätestens 14 Tage nach Verfügbarkeit einer korrigierenden oder risikomindernden Maßnahme ein Abschlussbericht vorgesehen. Bei schwerwiegenden Sicherheitsvorfällen muss der Abschlussbericht grundsätzlich innerhalb eines Monats nach der 72-Stunden-Meldung eingereicht werden.
Die kurzen Fristen zeigen: Der Cyber Resilience Act verlangt vorbereitete Abläufe. Erst im Ernstfall zu klären, wer zuständig ist und welche Informationen benötigt werden, kostet wertvolle Zeit.
Wo werden Schwachstellen und Vorfälle gemeldet?
Für die Meldungen hat die europäische Cybersicherheitsagentur ENISA die zentrale Single Reporting Platform eingerichtet. Sie ist seit dem 11. September 2026 in Betrieb.
Hersteller reichen ihre Meldung einmal über diese Plattform ein. Die Informationen werden an das zuständige Computer Security Incident Response Team, kurz CSIRT, sowie an ENISA übermittelt. Abhängig von der Verfügbarkeit des Produkts können weitere zuständige Stellen innerhalb der Europäischen Union einbezogen werden.
Unternehmen sollten deshalb frühzeitig klären:
- Wer darf das Unternehmen auf der Plattform vertreten?
- Wer übernimmt die erste technische Bewertung?
- Wer entscheidet, ob eine Meldung erforderlich ist?
- Welche Informationen müssen kurzfristig bereitstehen?
- Wer stimmt technische, rechtliche und kommunikative Maßnahmen ab?
- Wie ist die Erreichbarkeit außerhalb der üblichen Geschäftszeiten geregelt?
Ein bestehender IT-Notfallplan kann dafür eine Grundlage bieten. Er muss jedoch um die produktbezogenen Anforderungen und Fristen des Cyber Resilience Act ergänzt werden.
Welche Unternehmen sind betroffen?
Die Hauptpflichten richten sich an Hersteller. Als Hersteller gilt grundsätzlich eine natürliche oder juristische Person, die ein Produkt mit digitalen Elementen entwickelt oder herstellen lässt und es unter ihrem eigenen Namen oder ihrer eigenen Marke auf dem EU-Markt bereitstellt.
Damit kann der Cyber Resilience Act auch Unternehmen betreffen, die sich selbst nicht als klassischen Hardware- oder Softwarehersteller verstehen.
Besonders aufmerksam sollten Unternehmen sein, wenn sie:
- eigene Softwareprodukte entwickeln und vertreiben
- vernetzte Geräte oder Maschinen herstellen
- Software und Hardware unter eigener Marke anbieten
- externe Komponenten in ein eigenes Produkt integrieren
- bestehende digitale Produkte wesentlich verändern
- Produkte aus Ländern außerhalb der EU importieren
- digitale Produkte innerhalb der EU vertreiben
Auch Importeure und Händler haben eigene Prüf-, Informations- und Mitwirkungspflichten. Sie sollten unter anderem darauf achten, dass die erforderlichen Angaben, Konformitätsnachweise und Supportinformationen vorhanden sind.
Nicht jedes Unternehmen muss selbst melden
Ein Unternehmen, das eine Standardsoftware lediglich intern verwendet, wird dadurch normalerweise nicht zum Hersteller dieses Produkts. Die Meldepflicht des Cyber Resilience Act liegt dann grundsätzlich beim verantwortlichen Hersteller.
Das bedeutet jedoch nicht, dass Anwender Sicherheitsvorfälle ignorieren dürfen. Abhängig von Branche, Größe und Tätigkeit können andere Vorgaben greifen. Zudem sollten betroffene Unternehmen Schwachstellen und Vorfälle schnell an den jeweiligen Hersteller oder IT-Dienstleister weitergeben.
Die genaue rechtliche Einordnung sollte im Zweifel fachkundig geprüft werden.
Cyber Resilience Act und NIS2: Wo liegt der Unterschied?
Cyber Resilience Act und NIS2 werden häufig miteinander verwechselt, verfolgen aber unterschiedliche Ansätze.
NIS2 betrachtet vor allem die Cybersicherheit bestimmter Einrichtungen und Unternehmen. Im Mittelpunkt stehen deren Netzwerke, Informationssysteme, Risikomanagement und Reaktion auf Sicherheitsvorfälle.
Der Cyber Resilience Act ist dagegen produktbezogen. Er richtet sich vor allem an Hersteller, Importeure und Händler von Hardware und Software mit digitalen Elementen.
Ein Unternehmen kann deshalb von beiden Regelwerken betroffen sein. Ein Softwareanbieter kann beispielsweise als Hersteller Pflichten aus dem Cyber Resilience Act haben und aufgrund seiner Größe oder Tätigkeit zusätzlich unter NIS2 fallen.
Mehr zur organisatorischen Unternehmenssicherheit erfahren Sie in unserem Beitrag NIS2 im Mittelstand.
Welche weiteren Anforderungen folgen 2027?
Ab dem 11. Dezember 2027 werden die wesentlichen Anforderungen des Cyber Resilience Act vollständig anwendbar. Neue Produkte, die ab diesem Zeitpunkt auf den europäischen Markt gebracht werden, müssen die entsprechenden Vorgaben erfüllen.
Zu den zentralen Anforderungen gehören:
- Cybersicherheit bereits bei Konzeption und Entwicklung
- sichere Standardeinstellungen
- eine dokumentierte Bewertung der Cyberrisiken
- systematisches Schwachstellenmanagement
- Sicherheitsupdates während des Supportzeitraums
- technische Dokumentation
- Konformitätsbewertung und EU-Konformitätserklärung
- CE-Kennzeichnung
- transparente Angabe des Supportzeitraums
- Dokumentation verwendeter Softwarekomponenten
Eine wichtige Rolle spielt dabei die Software Bill of Materials, kurz SBOM. Sie dokumentiert, welche Bibliotheken, Module und weiteren Softwarebestandteile in einem Produkt eingesetzt werden.
Wird in einer verwendeten Bibliothek eine Schwachstelle entdeckt, können Hersteller mithilfe einer gepflegten SBOM schneller feststellen, welche Produkte und Versionen betroffen sind.
Wie sich Unternehmen auf den Cyber Resilience Act vorbereiten können
Der Cyber Resilience Act lässt sich nicht mit einer einzelnen Software oder einer einmaligen Prüfung umsetzen. Unternehmen benötigen dauerhaft funktionierende technische und organisatorische Prozesse.
1. Eigene Rolle eindeutig bestimmen
Zunächst sollte geprüft werden, ob das Unternehmen Hersteller, Importeur, Händler oder reiner Anwender ist. Auch White-Label-Produkte und unter eigener Marke vertriebene Lösungen müssen berücksichtigt werden.
Die rechtliche Einordnung sollte gemeinsam mit einer entsprechend qualifizierten Beratung erfolgen.
2. Produkte und Komponenten erfassen
Unternehmen benötigen eine vollständige Übersicht ihrer betroffenen Produkte, Produktversionen und Softwarebestandteile. Dazu gehören auch externe Bibliotheken, Open-Source-Komponenten, Firmware und eingebundene Dienste.
Ein strukturiertes IT-Asset-Management kann dabei helfen, technische Abhängigkeiten und Verantwortlichkeiten sichtbar zu machen.
3. Verantwortlichkeiten für Meldungen festlegen
Es muss klar sein, wer Hinweise auf Schwachstellen entgegennimmt, technische Bewertungen koordiniert und über eine Meldung entscheidet.
Die verantwortlichen Personen benötigen Zugriff auf alle relevanten Informationen und sollten auch bei Urlaub, Krankheit oder außerhalb der üblichen Geschäftszeiten vertreten werden können.
4. Schwachstellen kontinuierlich überwachen
Hersteller sollten ihre Produkte und verwendeten Komponenten laufend auf bekannte Schwachstellen überwachen. Dazu gehören Sicherheitsmeldungen von Softwareprojekten, Herstellern, Sicherheitsforschern und zuständigen Behörden.
Ein einmaliger Sicherheitscheck genügt nicht. Schwachstellen können auch Jahre nach Veröffentlichung eines Produkts bekannt werden.
5. Einen Meldeprozess für 24 und 72 Stunden entwickeln
Der interne Ablauf sollte festlegen, welche Informationen innerhalb der ersten 24 Stunden benötigt werden und wer sie zusammenträgt. Für die ausführlichere Meldung innerhalb von 72 Stunden sollten zusätzliche technische und organisatorische Schritte definiert sein.
Sinnvoll ist eine vorbereitete Checkliste mit mindestens folgenden Punkten:
- betroffenes Produkt und Produktversion
- Zeitpunkt der ersten Kenntnis
- Art der Schwachstelle oder des Vorfalls
- bekannte oder vermutete Auswirkungen
- betroffene Länder und Kundengruppen
- verfügbare Protokolle und technische Nachweise
- bereits eingeleitete Gegenmaßnahmen
- zuständige interne und externe Ansprechpartner
6. Abläufe praktisch testen
Ein vorbereiteter Prozess sollte in einer Übung getestet werden. Dabei kann ein fiktiver Fall durchgespielt werden: Eine verwendete Softwarebibliothek weist eine aktiv ausgenutzte Schwachstelle auf und mehrere Produkte könnten betroffen sein.
Der Test zeigt, ob Produktinformationen verfügbar sind, Verantwortliche erreichbar bleiben und eine erste Bewertung innerhalb der vorgeschriebenen Frist möglich wäre.
Typische Fehler bei der Vorbereitung
Beim Cyber Resilience Act sollten Unternehmen insbesondere diese Fehler vermeiden:
- Die Verordnung wird ausschließlich als Aufgabe der IT-Abteilung betrachtet.
- Es gibt keine vollständige Übersicht der eigenen digitalen Produkte.
- Externe Softwarekomponenten sind nicht dokumentiert.
- Zuständigkeiten für Schwachstellenmeldungen fehlen.
- Sicherheitsmeldungen werden nur unregelmäßig überwacht.
- Der 24-Stunden-Prozess wurde nie praktisch getestet.
- Produktentwicklung, Support und Geschäftsführung arbeiten getrennt voneinander.
- Kundenkommunikation und Sicherheitsupdates sind nicht vorbereitet.
- Die Anforderungen werden mit NIS2 gleichgesetzt.
- Die Vorbereitung wird vollständig auf Ende 2027 verschoben.
Gerade der letzte Punkt ist kritisch: Die ersten Pflichten gelten bereits. Unternehmen, die von den Meldeanforderungen erfasst werden, benötigen ihre Prozesse nicht erst ab 2027.
Cyber Resilience Act für Unternehmen in Düsseldorf und Köln
In Düsseldorf, Köln und der gesamten Rheinregion gibt es zahlreiche Softwareanbieter, Technologieunternehmen, Industrieausrüster und mittelständische Hersteller. Viele dieser Unternehmen verbinden eigene Produkte mit Cloud-Diensten, Apps, Fernwartungsfunktionen oder externen Softwarebibliotheken.
Dadurch können komplexe Abhängigkeiten entstehen. Für eine verlässliche Vorbereitung müssen Produktentwicklung, Unternehmens-IT, Support, Datenschutz und Geschäftsführung zusammenarbeiten.
releon unterstützt Unternehmen bei den technischen Grundlagen: von der Bestandsaufnahme über IT-Sicherheit und Systemdokumentation bis zur Vorbereitung belastbarer Reaktions- und Meldeprozesse. Eine rechtliche Bewertung oder Konformitätsprüfung wird dadurch nicht ersetzt.
Häufige Fragen zum Cyber Resilience Act
Seit wann gelten die Meldepflichten?
Die Meldepflichten für Hersteller gelten seit dem 11. September 2026. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit müssen über die zentrale ENISA-Plattform gemeldet werden.
Muss jeder Softwarefehler gemeldet werden?
Nein. Nicht jeder Programmfehler ist automatisch meldepflichtig. Entscheidend ist insbesondere, ob eine Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Sicherheitsvorfall die Sicherheit des Produkts beeinträchtigt.
Betrifft der Cyber Resilience Act auch kleine Unternehmen?
Ja, die Unternehmensgröße allein entscheidet nicht darüber, ob die Verordnung gilt. Auch kleine Hersteller können betroffen sein, wenn sie Produkte mit digitalen Elementen auf dem europäischen Markt bereitstellen.
Gilt der Cyber Resilience Act auch für bestehende Produkte?
Die seit September 2026 geltenden Meldepflichten können auch Produkte betreffen, die bereits vor der vollständigen Anwendbarkeit der Verordnung auf dem EU-Markt bereitgestellt wurden. Die vollständigen Produktanforderungen gelten grundsätzlich ab Dezember 2027 für neu in Verkehr gebrachte Produkte.
Ist der Cyber Resilience Act dasselbe wie NIS2?
Nein. NIS2 ist vor allem organisationsbezogen, während der Cyber Resilience Act die Sicherheit digitaler Produkte und die Pflichten der beteiligten Wirtschaftsakteure regelt. Ein Unternehmen kann von beiden Regelwerken betroffen sein.
Kann releon die rechtliche Einordnung übernehmen?
releon unterstützt bei technischen und organisatorischen Sicherheitsmaßnahmen, bei Dokumentation und bei der Vorbereitung von Reaktionsprozessen. Die verbindliche rechtliche Einordnung und die formale Konformitätsbewertung sollten durch entsprechend qualifizierte Stellen erfolgen.
Fazit: Die ersten Pflichten gelten bereits
Der Cyber Resilience Act ist kein reines Zukunftsthema für 2027. Seit dem 11. September 2026 gelten bereits konkrete Meldepflichten für betroffene Hersteller.
Unternehmen sollten deshalb jetzt klären, welche Produkte erfasst werden, welche Komponenten darin eingesetzt sind und wer bei einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall handelt. Besonders wichtig sind eine gepflegte Produktübersicht, klar definierte Zuständigkeiten und ein getesteter 24- und 72-Stunden-Prozess.
releon unterstützt Unternehmen aus Düsseldorf, Köln und NRW dabei, die technischen Voraussetzungen für wirksames Schwachstellenmanagement und strukturierte Sicherheitsprozesse zu schaffen. Sprechen Sie mit uns, wenn Sie Ihre Ausgangslage prüfen und konkrete nächste Schritte festlegen möchten.
Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine rechtliche Beratung oder formale Konformitätsbewertung.
