Cyber Resilience Act: Warum die 24-Stunden-Meldepflicht Vorbereitung erzwingt
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden, gefolgt von einer vollen Meldung in 72 Stunden und einem Abschlussbericht in 14 Tagen. Die Fristen sind kein Formalismus, sondern ein Test, ob die Vorarbeit steht. Was der Cyber Resilience Act wirklich verlangt und warum die eigentliche Arbeit vorher passiert.
Der Cyber Resilience Act ist beschlossen, doch der Termin, der vielen Herstellern noch bevorsteht, ist der 11. September 2026. Ab dann gelten die Meldepflichten: Wer ein Produkt mit digitalen Elementen in Verkehr bringt, muss aktiv ausgenutzte Schwachstellen und schwere Vorfälle melden. Nicht irgendwann, sondern nach einer Uhr, die kaum Spielraum lässt.
Drei Fristen, ein enges Fenster
Die Meldekette ist gestaffelt: eine Frühwarnung binnen 24 Stunden, eine vollständige Meldung binnen 72 Stunden, ein Abschlussbericht spätestens 14 Tage nach Bereitstellung einer Korrektur. Adressat sind CSIRT und ENISA über eine zentrale Plattform. Wer schon einen echten Vorfall erlebt hat, weiß: 24 Stunden vergehen schnell, wenn man erst anfängt zu suchen.
Die Frist ist der eigentliche Prüfstein
Der Punkt ist nicht das Formular. 24 Stunden reichen nur, wenn die Vorarbeit steht: Man muss binnen Stunden wissen, welches Produkt in welcher Version betroffen ist, welche Komponente die Schwachstelle trägt, wer entscheidet und über welchen Kanal gemeldet wird. Wer diese Fragen erst im Ernstfall stellt, hat die Frühwarnung schon verloren.
Was vorher da sein muss
Drei Dinge entscheiden über die 24 Stunden, unabhängig vom Werkzeug: ein aktuelles Bild der eigenen Produkte und ihrer Komponenten, laufende Transparenz über bekannte Schwachstellen darin, und ein eingeübter Meldeprozess mit klaren Rollen. Dazu die Konformitätsseite, die nicht im Vorfall entsteht: die grundlegenden Anforderungen aus Anhang I, die technische Dokumentation und die Konformitätserklärung gehören vor das Inverkehrbringen, nicht danach.
Wie isidaten das abbildet
Genau dafür gibt es in isidaten ein CRA-Modul. Es bildet den Kontrollkatalog aus Anhang I ab, getrennt in grundlegende Cybersicherheitsanforderungen und Anforderungen an die Schwachstellenbehandlung, und führt Produktprofile, technische Dokumentation und Konformitätserklärung an einem Ort. Die Meldekette kennt die CRA-Fristen von 24, 72 und 14. Der wichtigste Teil: Die CRA-Anforderungen mappen auf Nachweise, die in anderen Modulen ohnehin entstehen, etwa aus dem Schwachstellen- und Asset-Management. So beginnt Konformität nicht bei null.
Der 11. September ist kein Datum für die lange Bank. Wenn Sie wissen wollen, wie Ihre Produkte gegen die CRA-Anforderungen stehen, sprechen Sie uns an.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.