Cyber Resilience Act ab 11. September 2026: Wen die 24-Stunden-Meldepflicht im Mittelstand wirklich trifft

In einem Monat wird der erste wirklich verbindliche Teil des Cyber Resilience Act, der Verordnung (EU) 2024/2847, anwendbar. Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden melden. An diesem Datum werden drei Dinge regelmäßig falsch gelesen. Die Pflicht kommt fünfzehn Monate vor allen Sicherheitsanforderungen, die sie eigentlich flankieren soll. Sie erfasst auch Produkte, die vor Jahren verkauft wurden. Und die Plattform, über die gemeldet werden soll, ist zum Stand dieses Beitrags noch nicht geöffnet.

Was am 11. September gilt und was nicht

Die Asymmetrie in dieser Tabelle ist der eigentliche Punkt, und sie wird selten klar ausgesprochen. Was im September beginnt, ist die Pflicht zu melden. Die Pflicht, Produkte so zu bauen, dass sie die Sicherheitsanforderungen aus Anhang I erfüllen, sie zu dokumentieren und auf dieser Grundlage eine CE-Kennzeichnung anzubringen, beginnt im Dezember 2027. Für einen Hersteller heißt das: fünfzehn Monate, in denen jede aktiv ausgenutzte Schwachstelle einer Behörde zu melden ist, während das Produkt selbst rechtlich noch nicht nach dem Standard entwickelt sein muss, der sie verhindert hätte.

Das ist kein Versehen des Gesetzgebers. Die Meldung ist das Instrument, das den Behörden Sichtbarkeit verschafft, bevor das materielle Regime existiert. Es ändert aber die Reihenfolge, in der ein Unternehmen arbeiten sollte. Den CRA als Thema für 2027 einzuordnen und das Ganze auf nächstes Jahr zu legen, ist der häufigste Planungsfehler, den wir gerade sehen, und er endet immer gleich: Die erste Meldung schreibt unter Zeitdruck jemand, der noch nie eine geschrieben hat.

Die Definition, die Unternehmen erwischt, die sich nicht für Hersteller halten

Art. 3 Nr. 13 ist kurz und lohnt zweimaliges Lesen. Hersteller ist eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt, oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter eigenem Namen oder eigener Marke vermarktet. Die zweite Hälfte ist für den Mittelstand entscheidend. Die Beauftragung verschiebt die Pflicht nicht auf denjenigen, der die Arbeit gemacht hat. Das eigene Logo auf dem Ergebnis verschiebt die Pflicht zu Ihnen.

Am meisten überrascht die zweite Zeile. Ein Unternehmen, das eine App oder ein Portal extern entwickeln lässt und unter eigenem Namen ausliefert, ist Hersteller im Rechtssinne, der Partner ist es nicht. Wir sagen das als der Partner in dieser Konstellation: Wir bauen solche Systeme, und die Meldepflicht liegt trotzdem beim Kunden und nicht bei uns. Vertraglich regeln lässt sich, wer technisch erkennt, analysiert und formuliert. Nicht wegverhandeln lässt sich, wer rechtlich zur Meldung verpflichtet ist.

Wo der Anwendungsbereich tatsächlich endet

Die Hälfte dessen, was in den letzten Monaten über den CRA geschrieben wurde, ist alarmistisch in einer Weise, die den Blick in Art. 2 nicht übersteht. Websites, Cloud-Dienste und SaaS-Angebote, die für sich allein stehen, sind nicht erfasst. Die Verordnung regelt Produkte, die in Verkehr gebracht werden, und zieht Cloud-Bestandteile ausdrücklich nur dann hinein, wenn sie Datenfernverarbeitungslösungen sind: Software, die vom Hersteller oder unter seiner Verantwortung entwickelt wurde und deren Fehlen dazu führen würde, dass das Produkt eine seiner Funktionen nicht mehr ausführt.

Daraus ergibt sich ein brauchbarer Test, und er ist eher technisch als juristisch. Schalten Sie den Cloud-Dienst gedanklich ab. Wenn das Gerät oder die Software beim Kunden daraufhin etwas nicht mehr tut, was sie verspricht, gehört der Dienst zum Produkt. Wenn der Kunde lediglich ein Dashboard, eine Auswertung oder eine Marketingoberfläche verliert, gehört er nicht dazu. Die meisten mittelständischen Unternehmen, mit denen wir arbeiten, haben genau eine Komponente in der Nähe dieser Linie, und es ist fast immer das Portal, über das auch Firmware-Updates oder Lizenzschlüssel laufen.

Bestandsprodukte sind der Teil, den niemand einplant

Art. 69 Abs. 2 nimmt Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, von der Verordnung aus, solange sie danach nicht wesentlich verändert werden. Für sich gelesen klingt das nach viel Zeit. Art. 69 Abs. 3 nimmt diese Zeit für die eine Pflicht wieder weg, die zuerst greift: Abweichend davon gelten die Pflichten aus Art. 14 für alle Produkte mit digitalen Elementen im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.

Operativ ist das der schwerste Satz der Verordnung für einen etablierten Hersteller. Die Meldepflicht hängt nicht am nächsten Release. Sie hängt am Bestand im Feld, einschließlich der Steuerungsversion, die Sie 2021 ausgeliefert haben, und des Geräts bei einem Kunden, der sich seither nicht gemeldet hat. Eine 24-Stunden-Frist für ein Produkt einzuhalten, dessen Verbreitung Sie kennen, ist ein Prozessproblem. Sie für eine Flotte einzuhalten, die Sie nicht kennen, ist kein Prozessproblem, sondern ein Datenproblem, und das löst man nicht in einem Monat.

Wie eine Meldung aussieht

Beachten Sie, was die 24-Stunden-Stufe nicht verlangt. Sie ist eine Frühwarnung, keine Analyse. Der teuerste Fehler des ersten Jahres werden Unternehmen sein, die die erste Frist verpassen, weil sie den Vorfall noch verstehen wollten, um ihn ordentlich beschreiben zu können. Die Verordnung hat das bewusst gestaffelt: warnen, dann erklären, dann abschließen.

Die Lücke zwischen Pflicht und Werkzeug

Gemeldet wird über die Single Reporting Platform der ENISA, die die Meldung an das als Koordinator benannte CSIRT im Mitgliedstaat der Hauptniederlassung weiterleitet. Die ENISA gibt an, die Plattform werde zum 11. September 2026 betriebsbereit sein. Zum Stand dieses Beitrags ist sie nicht geöffnet, es gibt keine öffentliche Registrierungsadresse, und veröffentlicht sind bislang ein Factsheet sowie zwei Leitfäden zu Registrierung und Einreichung, zuletzt aktualisiert am 31. Juli 2026.

Das ist ohne Dramatik festzuhalten, denn die praktische Folgerung ist eindeutig. Die Fristen aus Art. 14 hängen nicht daran, wann das Werkzeug erscheint. Wer die fehlende Plattform als Grund nimmt, die eigene Vorbereitung zu verschieben, optimiert am falschen Risiko. Bauen Sie den internen Prozess jetzt, legen Sie die Erreichbarkeit fest, schreiben Sie die Vorlagen, und registrieren Sie sich, sobald ENISA öffnet. Sollten Sie in den ersten Wochen nach dem 11. September stehen und die Plattform ist weiterhin nicht nutzbar, dokumentieren Sie, was Sie wann getan haben, und wenden Sie sich direkt an das nationale CSIRT.

Deutschland: Die Adresse ist das BSI

Für Hersteller mit Sitz in Deutschland ist das BSI der Ansprechpartner. Die Bundesregierung hat es als notifizierende und marktüberwachende Behörde benannt, und der Entwurf des Durchführungsgesetzes, Bundestagsdrucksache 21/6134, weist ihm vier Rollen zu: Marktüberwachung, Notifizierung der Konformitätsbewertungsstellen, CSIRT-Koordinator und Meldestelle sowie Unterstützung der Wirtschaftsakteure. Der Bundesrat hat im ersten Durchgang am 12. Juni 2026 keine Einwendungen erhoben.

Eine Feinheit lohnt den Übertrag aus unserer Einordnung zum AI Act: Fällt ein Produkt zugleich unter den CRA und unter das Hochrisiko-Regime des AI Act, soll die Aufsicht der AI-Act-Behörde folgen. Für die meisten mittelständischen Hersteller tritt diese Kombination nicht ein. Für alle, die KI in ein reguliertes Produkt bauen, entscheidet sie darüber, wer anklopft.

Und der Punkt, der die letzte Ausrede nimmt: Die Pflicht folgt aus der Verordnung, und die gilt in jedem Mitgliedstaat unmittelbar. Sie wartet nicht auf das nationale Durchführungsgesetz. Das deutsche Gesetz regelt, wer hier beaufsichtigt und wie Sanktionen verwaltet werden. Es regelt nicht, ob Sie melden müssen.

Was ein Verstoß kostet, und eine Ausnahme, die viele Leser betrifft

Art. 64 staffelt die Sanktionen. Verstöße gegen die wesentlichen Anforderungen sowie gegen die Art. 13 und 14 liegen bei bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Eine Reihe anderer Pflichten liegt bei 10 Mio. Euro oder 2 Prozent, unrichtige oder unvollständige Angaben gegenüber Behörden bei 5 Mio. Euro oder 1 Prozent.

Interessanter als die Obergrenzen ist Absatz 10, den die meisten Übersichten weglassen. Danach werden Geldbußen nicht gegen Hersteller verhängt, die Kleinst- oder Kleinunternehmen sind, soweit es um die Nichteinhaltung der Frist nach Art. 14 Abs. 2 Buchst. a oder Art. 14 Abs. 4 Buchst. a geht. Das sind genau die beiden 24-Stunden-Frühwarnungen. Als kleines Unternehmen gilt nach der EU-Definition, wer weniger als 50 Personen beschäftigt und höchstens 10 Mio. Euro Jahresumsatz oder Jahresbilanzsumme erreicht.

Was diese Ausnahme nicht ist: eine Befreiung von der Pflicht. Die Meldepflicht bleibt, die Frist bleibt, und weder die 72-Stunden-Meldung noch der Abschlussbericht sind erfasst. Weg fällt allein das Bußgeld für eine verspätete Frühwarnung. Einem Unternehmen mit 30 Mitarbeitenden nimmt das den Schrecken vor dem 11. September, nicht die Arbeit. Für ein Unternehmen mit 120 Mitarbeitenden gilt sie gar nicht, und das ist ein Punkt zum Nachrechnen statt zum Annehmen.

Realistisch ist für einen mittelständischen Hersteller ohnehin nicht das Bußgeld die Gefahr. Nach Art. 54 kann die Marktüberwachungsbehörde die Bereitstellung eines Produkts beschränken, es vom Markt nehmen oder einen Rückruf anordnen. Ein Vertriebsstopp trifft ein Produktgeschäft härter und schneller, als eine Entscheidung über Sanktionen es je täte.

Was in den nächsten vier Wochen zu tun ist

• Klären, ob Sie überhaupt Hersteller sind. Eine Frage, schriftlich beantwortet: Bringen wir ein Software- oder Hardware-Produkt unter eigenem Namen in Verkehr. Bei etwa der Hälfte der Unternehmen, die uns fragen, lautet die ehrliche Antwort nein, und damit endet das Thema.
• Die Produkte und die Versionen im Feld auflisten. Auch die, die seit drei Jahren niemand angefasst hat. Art. 69 Abs. 3 zieht den Bestand hinein, und dieser Punkt hat die längste Vorlaufzeit.
• Die Linie um Ihre Cloud-Bestandteile ziehen. Für jeden einzeln: Würde ohne ihn eine Produktfunktion ausfallen. Diese Antwort entscheidet über den Anwendungsbereich und gehört aufgeschrieben, nicht vermutet.
• Benennen, wer meldet und wer vertritt. Vierundzwanzig Stunden schließen Nächte und Wochenenden ein. Eine namentlich benannte Person plus eine Vertretung, mit einem dokumentierten Weg, sie zu erreichen, ist hier die ganze Anforderung.
• Die Vorlage für die Frühwarnung jetzt schreiben. Eine halbe Seite zum Ausfüllen. Die Stufe, die schnell sein muss, ist die, die nicht formuliert werden sollte.
• Einen Weg schaffen, von Schwachstellen zu erfahren. Eine veröffentlichte Sicherheitsadresse, die auch gelesen wird. Die förmliche Offenlegungsrichtlinie steht in Anhang I und gilt ab Dezember 2027, aber ohne Postfach erfahren Sie von einer ausgenutzten Schwachstelle durch einen Kunden, und dann läuft die Uhr schon eine Weile.
• Die Meldepflicht in Lieferantenverträge schreiben. Wenn ein Komponentenlieferant eine ausgenutzte Schwachstelle entdeckt, müssen Sie es innerhalb Ihrer eigenen 24 Stunden erfahren und nicht innerhalb seiner.

Fazit

Der Cyber Resilience Act wird allgemein unter 2027 abgelegt, und für seinen materiellen Teil stimmt das. Für seine erste Pflicht stimmt es nicht. Ab dem 11. September 2026 läuft die 24-Stunden-Uhr für jeden Hersteller im Anwendungsbereich, für den gesamten Bestand im Feld, und sie läuft unabhängig davon, ob die Plattform geöffnet ist, die die Meldung entgegennehmen soll. Die Arbeit, die diese Lücke in vier Wochen schließt, ist klein und unspektakulär: eine ehrliche Antwort auf die Herstellerfrage, eine Liste dessen, was im Feld ist, eine benannte Person, eine Vorlage. Die Unternehmen, die hier scheitern, scheitern nicht am Recht. Sie scheitern daran, dass am ersten Tag niemand wusste, wer auf Senden drücken soll. Wenn Sie diese Einordnung an Ihren tatsächlichen Produkten statt an einer Checkliste vornehmen möchten, ist genau das der Zweck eines Erstgesprächs, und das benachbarte Regime steht in unserer Einordnung zu den Transparenzpflichten des AI Act.

Häufige Fragen zur CRA-Meldepflicht ab September 2026