Thought Leadership
Ab dem 11. September gilt die 24-Stunden-Meldepflicht des Cyber Resilience Act. Laut Bitkom sind nur 3 von 10 Unternehmen darauf vorbereitet.
Ab dem 11. September 2026 greifen die ersten konkreten Pflichten des europäischen Cyber Resilience Act (CRA, Verordnung EU 2024/2847): Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Sicherheitslücken sowie schwerwiegende Sicherheitsvorfälle künftig innerhalb von 24 Stunden nach Bekanntwerden an die zuständigen Stellen melden und diese Meldung nach 72 Stunden um weitere Details ergänzen. Nach 14 Tagen ist zusätzlich ein Abschlussbericht fällig, bei schweren Vorfällen erst nach einem Monat.
Kurz vor dem Stichtag ist das Gesetz in vielen Unternehmen jedoch noch nicht angekommen: Einer repräsentativen Befragung von 1.003 Unternehmen ab 10 Beschäftigten im Auftrag des Digitalverbands Bitkom zufolge ist zwar 67 Prozent der Unternehmen der Begriff CRA bekannt, aber nur 29 Prozent ist auch bewusst, was das Gesetz für das eigene Unternehmen konkret bedeutet. 38 Prozent haben zwar davon gehört, können die Bedeutung für den eigenen Betrieb aber nicht einschätzen, 28 Prozent kennen den CRA überhaupt nicht.
Dass der Vorbereitungsstand je nach Branche und Unternehmenstyp stark schwankt, zeigt ein Vergleich mit einer aktuellen Studie des Cybersicherheitsunternehmens ONEKEY. Für den „IoT & OT Cybersecurity Report 2026“ wurden 200 deutsche Industrieunternehmen mit Fokus auf vernetzte Produkte befragt, und hier fällt der Befund deutlich positiver aus als in der breiter angelegten Bitkom-Erhebung: Ein Fünftel der Unternehmen hat bereits ein eigenes Team für die CRA-Umsetzung eingerichtet, weitere 28 Prozent setzen dafür bis zu zehn Mitarbeitende ein. 61 Prozent haben zudem bereits ein Budget für die Umsetzung eingeplant oder wollen dies tun.
Meldung läuft über zentrale EU-Plattform
Die Meldungen laufen über die neue Single Reporting Platform (SRP) der EU-Cybersicherheitsagentur ENISA, von wo aus sie automatisiert an die zuständigen nationalen Stellen weitergeleitet werden – in Deutschland an das Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Meldepflicht gilt dabei nicht nur für neue Produkte, sondern nach Artikel 69 Absatz 3 der Verordnung grundsätzlich auch für bereits auf dem Markt befindliche Geräte und Software.
Bitkom weist darauf hin, dass selbst gut vorbereitete Unternehmen sich vorab nicht auf der Plattform registrieren oder Meldewege testen konnten, da die SRP erst zum Stichtag selbst live geht. Das BSI hat Anfang August 2026 mit der Technischen Richtlinie TR-03183-1 eine rechtlich nicht bindende Orientierungshilfe zur Umsetzung veröffentlicht, die sich insbesondere an Hersteller ohne ausgeprägte Sicherheitsprozesse richtet.
Bußgelder greifen erst später
Verstöße gegen den CRA können grundsätzlich mit Bußgeldern von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden. Der eigentliche Sanktionsmechanismus tritt jedoch erst zum 11. Dezember 2027 in Kraft, sodass die Meldepflicht rund 15 Monate lang ohne Bußgeldandrohung gilt. Für Kleinst- und Kleinunternehmen sieht der CRA zudem vor, dass allein das Versäumen der 24-Stunden-Frühwarnfrist nicht bußgeldbewehrt ist. Die Meldepflicht selbst sowie die weiteren Fristen bleiben davon aber unberührt.
Bitkom sieht Gesetz grundsätzlich positiv, mahnt aber Umsetzung an
Bitkom-Präsident Ralf Wintergerst bewertete den CRA grundsätzlich als wichtigen Schritt:
„Grundsätzlich ist der Cyber Resilience Act wichtig für mehr Cybersicherheit in Europa. Erstmals gelten EU-weit verbindliche Mindestanforderungen für Produkte mit digitalen Funktionen, Security by Design wird zum Grundsatz. Höhere Standards verbessern den Schutz von Unternehmen, Verbraucherinnen und Verbrauchern, Lieferketten und kritischen Infrastrukturen.“
Ralf Wintergerst
Zugleich kritisierte er die praktische Umsetzung: „Aktuell hapert es aber noch an der praxistauglichen Umsetzung. Der CRA kann nur dann Vertrauen in europäische Produkte schaffen, wenn die Unternehmen ihn umsetzen wollen und umsetzen können.“ Bitkom empfiehlt Unternehmen, sich umgehend mit den CRA-Pflichten auseinanderzusetzen, und verweist auf eine eigene Informationsseite unter bitkom.org/Cyber-Resilience-Act-CRA sowie auf die Informationen der ENISA zur Meldeplattform.
(red/Bitkom)
