Cyber Resilience Act: Seit dem 11. September 2026 gilt die Meldepflicht – was Softwareanbieter jetzt tun müssen

Kurz gesagt (Stand: Oktober 2026). Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) gilt vollständig ab dem 11. Dezember 2027, seine Meldepflichten gelten aber seit dem 11. September 2026 – auch für Software, die bereits auf dem Markt ist. Wer Software oder ein vernetztes Produkt unter eigenem Namen in der EU anbietet, muss jede aktiv ausgenutzte Schwachstelle und jeden schwerwiegenden Sicherheitsvorfall über die Meldeplattform der ENISA melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht 14 Tage nach Bereitstellung eines Fixes (Schwachstellen) bzw. einen Monat nach der Meldung (Vorfälle). Individualsoftware ist erfasst, und Hersteller ist meist das Unternehmen, das sie in Auftrag gegeben hat, nicht die Agentur, die sie gebaut hat. Ab Dezember 2027 kommen SBOM, eine Richtlinie zur Offenlegung von Schwachstellen und mindestens fünf Jahre kostenlose Sicherheitsupdates hinzu. Bußgelder reichen bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes.

Dieser Artikel fasst die Verordnung, die FAQ der EU-Kommission (Version 1.4 vom 4. September 2026) und die Hinweise der ENISA zusammen und macht daraus ein Setup, das Sie jetzt aufbauen können. Er ersetzt keine Rechtsberatung.

Zeitplan

Eine Verschiebung gibt es nicht. Der Vorschlag der Kommission zum „Digital Omnibus“ vom November 2025 will auf der CRA-Plattform eine gemeinsame Meldestelle für mehrere EU-Gesetze aufbauen, ändert aber bis Oktober 2026 nichts an den Fristen des CRA.

Betrifft der CRA Ihre Software?

Der CRA erfasst „Produkte mit digitalen Elementen“, die auf dem EU-Markt bereitgestellt werden und deren bestimmungsgemäße Verwendung eine Datenverbindung einschließt (Art. 2): installierte Software, mobile Apps, Firmware, vernetzte Geräte. Typische Fälle nach Verordnung und Kommissions-FAQ:

Wer ist Hersteller? Wer ein Produkt entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke vermarktet (Art. 3 Nr. 13). Lassen Sie Software von einer Agentur bauen und verkaufen Sie sie unter Ihrer Marke, sind Sie der Hersteller und tragen die Meldepflicht. Auch ein Händler oder jeder andere, der ein Produkt wesentlich verändert, wird zum Hersteller (Art. 21–⁠22).

Was Sie seit dem 11. September 2026 melden müssen

Was in der Praxis zählt (Art. 14, FAQ der Kommission):

• Nur aktiv ausgenutzte Schwachstellen. Eine Schwachstelle, die Sie selbst finden oder die Ihnen ein Forscher meldet, ist erst meldepflichtig, wenn es verlässliche Hinweise auf eine böswillige Ausnutzung gibt; freiwillig melden dürfen Sie sie (Art. 15).
• Fremdkomponenten zählen. Wird eine Schwachstelle in einer Bibliothek ausgenutzt, die Sie verwenden, und ist sie in Ihrem Produkt ausnutzbar, müssen Sie melden – auch wenn ein anderer Hersteller ebenfalls meldet.
• Auch Bestandsprodukte. Die Meldepflicht gilt für alle erfassten Produkte, auch für solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, ab Kenntnis am oder nach dem 11. September 2026.
• Ein Kanal. Meldungen laufen über die Single Reporting Platform der ENISA an das CSIRT des Mitgliedstaats Ihrer Hauptniederlassung und gleichzeitig an die ENISA. Zum Start gab es nur Webformulare, keine API; die Anmeldung läuft über EU Login mit Zwei-Faktor-Authentifizierung. Registrieren Sie sich, bevor Sie es brauchen: Ein Vorfall am Samstag um zwei Uhr nachts ist der falsche Moment, um Konten anzulegen.
• Nutzer müssen informiert werden – über die Schwachstelle oder den Vorfall und die zu ergreifenden Maßnahmen, gegebenenfalls maschinenlesbar.

Was ab Dezember 2027 gilt

Ab dem 11. Dezember 2027 gelten für neue Produkte die grundlegenden Anforderungen aus Anhang I. Diese prägen Ihren Entwicklungsprozess:

• SBOM. Eine Software-Stückliste in einem gängigen, maschinenlesbaren Format, die mindestens die Abhängigkeiten der obersten Ebene erfasst. Sie gehört zur technischen Dokumentation und geht auf Verlangen an die Behörden; veröffentlichen müssen Sie sie nicht. Das BSI empfiehlt in der Technischen Richtlinie TR-03183-2 CycloneDX 1.6 oder SPDX 3.0.1 (unverbindlich).
• Koordinierte Offenlegung von Schwachstellen. Eine veröffentlichte Richtlinie und eine Kontaktadresse für Schwachstellenmeldungen. Eine Datei security.txt (RFC 9116) auf Ihrer Website ist ein einfacher Weg, den Kontakt bereitzustellen.
• Sicherheitsupdates für den Unterstützungszeitraum, mindestens fünf Jahre, sofern die Nutzungsdauer nicht kürzer ist (Art. 13 Abs. 8), kostenlos und, wo technisch möglich, getrennt von Funktionsupdates. Behobene Schwachstellen sind offenzulegen.
• Sorgfalt bei Komponenten, auch bei Open Source, und Meldung gefundener Schwachstellen an deren Maintainer.
• Konformitätsbewertung. Die meisten Produkte bewerten sich selbst. „Wichtige“ Produkte (Betriebssysteme, Browser, Passwortmanager, VPN, Identitätsmanagement, Firewalls und weitere aus Anhang III) und „kritische“ Produkte (Anhang IV) brauchen Normen oder eine benannte Stelle. Die Durchführungsverordnung (EU) 2025/2392 beschreibt die Kategorien.

Bußgelder

Kleinst- und Kleinunternehmen können für eine versäumte 24-Stunden-Frühwarnung nicht mit Bußgeld belegt werden (Art. 64 Abs. 10); Meldung nach 72 Stunden und Abschlussbericht gelten auch für sie. Artikel 64 selbst gehört nicht zu den vorgezogenen Vorschriften, weshalb manche Kommentatoren schließen, dass Bußgelder erst ab Dezember 2027 verhängt werden können. Die Kommission hat sich dazu nicht geäußert; planen Sie nicht damit.

In Deutschland bestimmt der Entwurf des Durchführungsgesetzes (Bundestags-Drucksache 21/6134) das BSI als Marktüberwachungsbehörde. Soweit wir prüfen konnten, war er Mitte Oktober 2026 noch nicht verkündet.

Wie weit sind die Unternehmen?

• Laut einer Bitkom-Umfrage unter 1.003 deutschen Unternehmen (September 2026) kannten 67 % den CRA, aber nur 29 % wussten, was er für sie bedeutet; 28 % hatten noch nie davon gehört.
• In der SBOM-Umfrage der ENISA (Juni 2026) hatten 78 % der Organisationen mit SBOMs begonnen, 44 % aber nur als Pilot oder eingeschränkt; 44 % nutzen CycloneDX, 29 % SPDX.

Checkliste: Was Sie jetzt aufbauen sollten

1. Erfassen Sie Ihre Produkte auf dem EU-Markt, auch ältere Versionen im Einsatz, und klären Sie je Produkt, ob Sie Hersteller sind.
2. Registrieren Sie sich auf der Single Reporting Platform: eine Hauptkontaktperson und Vertretungen (bis zu 20), EU Login mit Zwei-Faktor-Authentifizierung.
3. Schreiben Sie ein Melde-Runbook: Wer entscheidet, dass eine Schwachstelle „aktiv ausgenutzt“ ist, wer gibt die 24-Stunden-Frühwarnung ab, wer übernimmt Wochenenden und Feiertage. Die Frist läuft ab Kenntnis, nicht ab Arbeitsbeginn.
4. Erzeugen Sie für jedes Release eine SBOM in Ihrer CI-Pipeline (CycloneDX oder SPDX) und legen Sie sie mit dem Release ab.
5. Überwachen Sie Ihre Abhängigkeiten laufend gegen CVE, die EU-Schwachstellendatenbank und Hinweise auf Ausnutzung, damit eine ausgenutzte Komponente Sie binnen Stunden erreicht und nicht erst beim nächsten Audit.
6. Veröffentlichen Sie eine Richtlinie zur Offenlegung von Schwachstellen und einen Kontakt, zum Beispiel per security.txt.
7. Bereiten Sie Nutzerinformationen vor: Vorlagen, Kanäle und Kontaktliste je Produkt und Kunde.
8. Legen Sie den Unterstützungszeitraum fest und einen Weg, Sicherheitsupdates getrennt von Funktionsreleases auszuliefern.
9. Regeln Sie Zuständigkeiten in Verträgen mit Ihren Entwicklungspartnern: wer überwacht, wer behebt, wer meldet, mit welchen Reaktionszeiten. Bei Individualsoftware halten Sie vereinbarte Abweichungen in der technischen Dokumentation fest.
10. Planen Sie den Dezember 2027: Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung für neue Produkte.

Häufige Irrtümer

1. „Der CRA gilt erst ab 2027.“ Die Meldepflicht gilt seit dem 11. September 2026.
2. „Bestandsprodukte sind ausgenommen.“ Nicht von der Meldepflicht.
3. „Unser SaaS fällt darunter.“ Nur als Datenfernverarbeitung für ein Produkt; sonst gilt NIS2.
4. „Individualsoftware ist nicht erfasst.“ Sie ist erfasst; vertraglich abweichen lässt sich nur bei zwei Anforderungen.
5. „Die Agentur, die sie gebaut hat, ist Hersteller.“ Hersteller ist, wer das Produkt unter eigenem Namen vermarktet.
6. „Die SBOM muss öffentlich sein und jede Abhängigkeit enthalten.“ Mindestens die oberste Ebene, und sie geht auf Verlangen an die Behörden.
7. „Jede CVE in einer Abhängigkeit ist meldepflichtig.“ Nur aktiv ausgenutzte, die in Ihrem Produkt ausnutzbar sind.
8. „Kleine Unternehmen müssen nicht melden.“ Sie müssen; sie sind nur von Bußgeldern für eine verspätete 24-Stunden-Frühwarnung ausgenommen.
9. „Wir melden direkt an das BSI.“ Meldungen laufen über die ENISA-Plattform, die sie an das zuständige CSIRT weiterleitet.
10. „Der Abschlussbericht ist immer nach 14 Tagen fällig.“ Das gilt für Schwachstellen nach einem Fix; bei Vorfällen ist es ein Monat nach der Meldung.

Wie wir helfen

SDH baut und betreibt Software für Unternehmen, die nach dem CRA deren Hersteller sind. Wir richten SBOM-Erzeugung und Abhängigkeitsüberwachung in Ihrer CI/CD ein, betreiben Managed DevOps mit 24/7-Monitoring, das eine ausgenutzte Komponente binnen Stunden zur Warnung macht, verankern Sicherheit in der Architektur wie in unserem Security- und Compliance-Framework beschrieben und unterstützen beim Melde-Runbook und bei Verträgen über CTO as a Service. Wenn Sie nicht sicher sind, ob Ihr Produkt erfasst ist oder wer was melden muss, sprechen Sie uns an. Zur Pipeline-Seite lesen Sie auch unseren Artikel über Sicherheitslücken in DevOps-Pipelines, und was Compliance für das Budget eines neuen Produkts bedeutet, in unserem Leitfaden zu den Kosten der MVP-Entwicklung 2026.

FAQ

Ab wann gilt die Meldepflicht des CRA?

Seit dem 11. September 2026. Seitdem müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle ihrer Produkte melden, auch für Produkte, die vor der vollständigen Geltung des CRA am 11. Dezember 2027 in Verkehr gebracht wurden.

Welche Meldefristen gelten nach dem CRA?

Frühwarnung binnen 24 Stunden nach Kenntnis, Meldung binnen 72 Stunden und Abschlussbericht spätestens 14 Tage nach Bereitstellung eines Fixes (Schwachstellen) bzw. binnen eines Monats nach der Meldung (Vorfälle).

Gilt der Cyber Resilience Act für SaaS?

Eigenständiges SaaS ist kein Produkt mit digitalen Elementen und fällt unter NIS2. Erfasst ist es nur als Datenfernverarbeitung, die ein Produkt für seine Funktionen braucht.

Ist eine SBOM nach dem CRA Pflicht?

Ja, ab dem 11. Dezember 2027 für neue Produkte: eine maschinenlesbare SBOM, die mindestens die Abhängigkeiten der obersten Ebene erfasst und Teil der technischen Dokumentation ist. Veröffentlichen müssen Sie sie nicht.

Welche Bußgelder drohen nach dem CRA?

Bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Anforderungen und die Pflichten aus Art. 13 und 14, einschließlich der Meldepflicht. Kleinst- und Kleinunternehmen können für eine versäumte 24-Stunden-Frühwarnung nicht belangt werden.

Quellen

• Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt vom 20. November 2024
• Europäische Kommission, FAQs on the Cyber Resilience Act, Version 1.4, 4. September 2026
• Europäische Kommission, CRA reporting obligations, September 2026
• Europäische Kommission, Leitlinien zur Umsetzung des CRA, Juli 2026
• ENISA, Single Reporting Platform
• ENISA, SBOM adoption: state of play 2026, Juni 2026
• BSI, Technische Richtlinie TR-03183
• Bitkom, Cyber Resilience Act: 3 von 10 Unternehmen vorbereitet, September 2026
• Europäische Kommission, Start der EU-Schwachstellendatenbank, Mai 2025

Categories

Über den Autor

Pavlo Yablonskyi

CTO & Co-Founder

Vollständiges Profil ansehen

CTO & Mitbegründer von Software Development Hub. Software-Ingenieur mit 20+ Jahren Erfahrung. Python/Django-Fan, Software-Architekt und IT-Teamleiter. Stets auf dem Laufenden mit technischen Trends. Ausgeprägte technische Fähigkeiten und vielfältiges Fachwissen in den Bereichen Software-Strukturdesign, Entwicklung, Teammanagement und Cybersicherheit.

Vollständiges Profil ansehen