Cyber Resilience Act: Ab 11. September läuft die Meldeuhr — was Softwareanbieter jetzt tun müssen

Für die meisten Softwareunternehmen war der Cyber Resilience Act bisher ein Datum am Horizont: Dezember 2027, wenn CE-Kennzeichnung und der volle Katalog der Sicherheitsanforderungen gelten. Diese Sicht ist überholt. Am 11. September 2026 beginnt die erste operative Pflicht — die verpflichtende Meldung aktiv ausgenutzter Schwachstellen und schwerer Vorfälle, mit einer ersten Frist von 24 Stunden.

Die Verordnung (EU) 2024/2847 legt horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die in der EU in Verkehr gebracht werden — Hardware wie Software. Sie trat im Dezember 2024 in Kraft und gilt gestuft. Die Meldepflichten sind die erste Stufe, die Hersteller direkt trifft, und sie gelten für alle Produkte auf dem Markt — auch für solche, die lange vor der Verordnung in Verkehr gebracht wurden.

Wer erfasst ist — und was ist mit SaaS?

Der CRA erfasst Produkte mit digitalen Elementen: installierbare Software, mobile und Desktop-Apps, Firmware, kommerziell bereitgestellte Bibliotheken und SDKs, Browser-Erweiterungen und vernetzte Geräte. Datenfernverarbeitung ist nur erfasst, wenn sie integraler Bestandteil eines solchen Produkts ist — das Cloud-Backend, ohne das ein Gerät oder eine App ihre Funktionen nicht erfüllen kann.

Reines SaaS, das vollständig über den Browser bereitgestellt wird, liegt grundsätzlich außerhalb des CRA; es fällt unter NIS2, wo Größen- und Sektorschwellen erreicht sind, und unter DORA-getriebene Vertragsanforderungen, wo die Kunden Finanzunternehmen sind. Doch nur wenige SaaS-Anbieter sind rein: Eine mobile App, ein Desktop-Sync-Client, ein On-Premise-Agent oder ein SDK für die Entwickler der Kunden macht das Unternehmen für genau diese Komponenten zum Hersteller im Sinne des CRA.

Die Meldepflichten ab dem 11. September 2026

• Was: aktiv ausgenutzte Schwachstellen im Produkt und schwere Vorfälle, die seine Sicherheit beeinträchtigen.
• Frühwarnung: binnen 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat.
• Meldung: binnen 72 Stunden, mit einer ersten Bewertung und Informationen zu Abhilfemaßnahmen.
• Abschlussbericht: bei Schwachstellen binnen 14 Tagen, nachdem eine Korrekturmaßnahme verfügbar ist; bei schweren Vorfällen binnen eines Monats.
• Kanal: die zentrale Meldeplattform der ENISA, weitergeleitet an das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat.
• Nutzer: Betroffene Nutzer sind über die Schwachstelle oder den Vorfall und über Abhilfemaßnahmen zu informieren.

“

Vierundzwanzig Stunden sind keine Dokumentationsfrist. Sie sind eine operative Frist — und funktionieren nur, wenn Erkennung, Triage und Eskalation bereits verdrahtet sind.

Warum die kurze Frist in der Praxis schwer ist

Die Uhr läuft ab Kenntnis des Herstellers — nicht ab Abschluss der Analyse. Viele Unternehmen erfahren von ausgenutzten Schwachstellen über ein Kundenticket, die E-Mail eines Sicherheitsforschers oder einen Threat-Intelligence-Feed, der in einem Sammelpostfach landet. Ohne definierte Eingangsstelle, benannte Rufbereitschaft und vorab erteilte Eskalationsbefugnis vergehen 24 Stunden, bevor jemand mit Entscheidungsbefugnis die Nachricht gelesen hat. Anbieter mit Kunden aus der Finanzbranche trifft eine zweite Ebene: Diese Kunden haben eigene DORA-Meldefristen und erwarten, von ihrem Lieferanten mindestens ebenso schnell zu hören.

Sanktionen und der Weg nach 2027

Verstöße gegen die Kernpflichten können Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes nach sich ziehen — je nachdem, welcher Betrag höher ist. Die Meldestufe ist zugleich die Generalprobe: Ab dem 11. Dezember 2027 müssen Produkte die grundlegenden Cybersicherheitsanforderungen erfüllen, die CE-Kennzeichnung tragen, einen definierten Unterstützungszeitraum für Sicherheitsupdates haben und — bei wichtigen und kritischen Produktkategorien — ein strengeres Konformitätsbewertungsverfahren durchlaufen.

Eine Checkliste zur Vorbereitung

1. 01Jede an Kunden ausgelieferte Produktkomponente erfassen — Apps, Clients, Agenten, SDKs — und bestimmen, wo Sie Hersteller sind.
2. 02Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen und einen einzigen, überwachten Eingangskanal für Schwachstellenmeldungen einrichten.
3. 03Eine Triage-Rolle in Rufbereitschaft definieren, die „aktiv ausgenutzt“ einstufen und die 24-Stunden-Frühwarnung auslösen darf.
4. 04Den Zugang zur Meldeplattform der ENISA einrichten und Meldevorlagen vorbereiten.
5. 05Software-Stücklisten (SBOMs) pflegen, damit ausgenutzte Drittkomponenten binnen Stunden den betroffenen Produkten zugeordnet werden können.
6. 06CRA-Meldungen mit NIS2 und DORA-bezogenen Kundenmeldungen verzahnen — ein Vorfallprozess, mehrere Ausgaben.

Fazit

Der Cyber Resilience Act beginnt nicht mit Papier, sondern mit einer Stoppuhr. Softwareanbieter, die den 11. September 2026 als operativen Go-live behandeln — Eingang, Triage, Eskalation, Meldung —, halten die Frist ein und gewinnen Glaubwürdigkeit bei regulierten Kunden. Aegiron Capital Group unterstützt Software- und Fintech-Unternehmen dabei, ihre Sicherheits- und Compliance-Prozesse für den DACH-Markt aufzustellen; Rechtsberatung und Sicherheitsprüfungen übernehmen die Kanzlei und die Spezialisten, die Sie beauftragen.