Cyber Resilience Act (CRA): Neue Meldepflichten werden am 11. September verbindlich.
Ab 11. September 2026: Neue Meldepflichten für Unternehmen im Rahmen des Cyber Resilience Act (CRA).
Zusammenfassung (TL; DR):
- Ab dem 11. September 2026 gelten mit dem Cyber Resilience Act verbindliche Meldepflichten für ausgenutzte Schwachstellen und Sicherheitsvorfälle. Dies gilt für Unternehmen, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen.
- Unternehmen müssen Prozesse zur Schwachstellenbewertung und Incident Response anpassen, um empfindliche Bußgelder zu vermeiden.
Nur noch wenige Wochen bis zum Stichtag
Ab dem 11. September 2026 gelten erstmals die Meldepflichten des Cyber Resilience Act (CRA) für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Unternehmen, die Hardware oder Software mit digitalen Elementen auf dem europäischen Markt bereitstellen, müssen sich auf neue gesetzliche Anforderungen einstellen. Sie müssen entsprechende Prozesse etablieren. Die Bitkom Akademie unterstützt Unternehmen dabei mit praxisnahen Weiterbildungsangeboten.Diese reichen von einer kompakten Einführung bis hin zur vertiefenden Anwendung des Cyber Resilience Act.
„Nur wer Sicherheitsvorfälle frühzeitig erkennt, bewertet und dokumentiert, kann die gesetzlichen Meldepflichten fristgerecht erfüllen und Risiken vermeiden“, sagt Anja Olsok, Geschäftsführerin Bitkom Servicegesellschaft. „Unsere Weiterbildungsangebote ermöglichen Unternehmen eine schnelle Reaktion auf die veränderten gesetzlichen Rahmenbedingungen.“
CRA: Was Unternehmen jetzt wissen müssen
Mit dem Cyber Resilience Act (EU) 2024/2847 schafft die Europäische Union erstmals horizontale und verbindliche Cybersicherheitsanforderungen. Diese gelten für nahezu alle Hardware- und Softwareprodukte mit digitalen Elementen, die auf dem EU-Binnenmarkt angeboten werden. Die Verordnung ist bereits in Kraft, ihre Pflichten werden jedoch schrittweise wirksam.
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle an die zuständigen europäischen Stellen melden. Betroffen sind dabei alle Unternehmen, die Produkte mit digitalen Elementen entwickeln oder unter eigenem Namen auf dem EU-Markt bereitstellen. Im Rahmen der neuen Anforderungen müssen insbesondere Prozesse zur Schwachstellenbewertung, Incident Response und interne Meldewege systematisch geprüft und fristgerecht angepasst werden. Bei Nicht-Einhaltung der genannten Fristen drohen empfindliche Bußgelder und Sanktionen.
Weiterbildung mit Fokus auf Cybersicherheit
Die Bitkom Akademie unterstützt sowohl Produkthersteller als auch deren Anwender dabei, die neuen Anforderungen des Cyber Resilience Act praxisnah umzusetzen. Sie hilft, zukunftsfähige Sicherheitsstrukturen im eigenen Unternehmen zu etablieren. Dazu gibt es beispielsweise das kostenfreie Live-Online-Seminar „Einführung in den Cyber Resilience Act: Schutz in der digitalen Ära”. Es vermittelt Herstellern wie Anwendern regulatorische Grundlagen und gibt einen kompakten Überblick über die neuen gesetzlichen Pflichten.
Häufige Fragen (FAQ)
Häufige Fragen (FAQ)
Die Meldepflichten werden am 11. September 2026 verbindlich. Sie gelten für alle Unternehmen, die Produkte mit digitalen Elementen (sowohl Hardware als auch Software) entwickeln oder unter eigenem Namen auf dem EU-Markt bereitstellen.
Unternehmen müssen ab diesem Zeitpunkt aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle fristgerecht melden.
Unternehmen müssen ihre internen Meldewege sowie die Prozesse zur Schwachstellenbewertung und zum Vorfallmanagement (Incident Response) systematisch anpassen. Bei Nichteinhaltung der Fristen drohen empfindliche Bußgelder und Sanktionen..
