Die Meldung
Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen, die in der EU verkauft werden, Sicherheitsprobleme nach dem Cyber Resilience Act (CRA) melden. Dazu zählen Software, Apps und vernetzte Geräte. Nach Angaben der Europäischen Kommission sind zwei Arten von Ereignissen meldepflichtig: Schwachstellen, die Angreifer aktiv ausnutzen, und schwerwiegende Vorfälle, die die Sicherheit eines Produkts beeinträchtigen.
Die Fristen sind kurz. Eine Frühwarnung ist innerhalb von 24 Stunden fällig, nachdem der Hersteller von dem Problem erfahren hat, eine ausführlichere Meldung innerhalb von 72 Stunden. Der Abschlussbericht folgt spätestens 14 Tage, nachdem eine Korrektur oder Abhilfemaßnahme für eine Schwachstelle verfügbar ist, bei einem schwerwiegenden Vorfall innerhalb eines Monats. Außerdem muss der Hersteller die betroffenen Nutzer informieren.
Gemeldet wird über die einheitliche Meldeplattform, die die EU-Cybersicherheitsagentur ENISA am 11. September freigeschaltet hat. Der Hersteller meldet einmal an das nationale Computer-Notfallteam (CSIRT) des Landes, in dem er seine Hauptniederlassung hat, und die ENISA erhält die Meldung gleichzeitig.
Die Kanzlei Hogan Lovells Cadwalader weist darauf hin, dass die Pflicht auch für Produkte gilt, die vor der vollen Anwendung des Gesetzes auf den EU-Markt gebracht wurden. Die wesentlichen Sicherheitsanforderungen des CRA gelten ab dem 11. Dezember 2027. Ab demselben Tag müssen auch Verwalter quelloffener Software melden.
Was das für Sie bedeutet
- Wenn Sie eine App, Software oder ein vernetztes Gerät unter Ihrem eigenen Namen in der EU verkaufen, brauchen Sie einen Weg, Angriffe zu erkennen und innerhalb von 24 Stunden zu melden.
- Die Pflicht gilt auch für Produkte, die Sie schon verkaufen, nicht nur für neue.
- Jemand in Ihrem Team sollte wissen, wie man auf der ENISA-Plattform meldet, bevor ein Vorfall eintritt.
- Weitere Sicherheitsregeln für diese Produkte folgen am 11. Dezember 2027. Die Meldepflicht ist also nur der erste Teil.
Was Sie jetzt tun können
- Erstellen Sie eine Liste der Software und Geräte, die Sie in der EU verkaufen, und legen Sie für jedes Produkt eine verantwortliche Person fest.
- Bestimmen Sie eine Person, die Sicherheitsprobleme im Blick behält und innerhalb von 24 Stunden melden kann, auch am Wochenende.
- Lesen Sie den ENISA-Leitfaden zur Meldeplattform und spielen Sie einen Übungsfall mit Ihrem Team durch.
- Bereiten Sie eine kurze Nachricht vor, mit der Sie Nutzer über ein Problem und seine Behebung informieren.
Wie Didset Ihnen helfen kann
Wir können die Apps und Systeme, die wir bauen, mit Sicherheitsprotokollen und Warnmeldungen ausstatten, damit Ihr Team einen Angriff rechtzeitig für die Meldung bemerkt.
Sprechen Sie mit uns
