Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die EU-Plattform CRA-SRP melden. Das BSI ist in Deutschland die zuständige Meldestelle und bietet Anleitungen zur Umsetzung.
Seit dem 11. September 2026 gelten für Hersteller von Produkten mit digitalen Elementen im EU-Binnenmarkt die Meldepflichten des Cyber Resilience Act. Sie müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden, sobald sie davon Kenntnis erlangen. Die Meldung erfolgt EU-weit einheitlich über die von der europäischen Cybersicherheitsagentur ENISA entwickelte Single Reporting Platform, kurz CRA-SRP. Empfänger sind das zuständige nationale Computer Security Incident Response Team sowie die ENISA selbst. In Deutschland übernimmt das CERT-Bund im BSI diese Rolle. Eine vorherige Registrierung ist nicht nötig, eine Meldung lässt sich laut BSI innerhalb weniger Minuten abgeben.
Die Pflicht markiert einen Einschnitt in der europäischen Produktsicherheit. Erstmals müssen auch Hersteller von Hardware und Software mit digitalen Komponenten Sicherheitsvorfälle aktiv melden, nicht nur Betreiber kritischer Infrastrukturen wie bisher unter der Richtlinie NIS2. Unternehmen sollten prüfen, ob interne Prozesse zur Erkennung, Bewertung und fristgerechten Meldung von Schwachstellen bereits stehen. Wer Zulieferer außerhalb der EU einsetzt, muss zusätzlich klären, welches CSIRT im eigenen Fall zuständig ist. Bei Herstellern ohne EU-Hauptsitz richtet sich das nach dem Sitz des Bevollmächtigten, Importeurs oder Händlers.
Offen bleibt, wie streng das BSI und die anderen nationalen Stellen die neuen Fristen in der Praxis durchsetzen und wo die Schwelle für einen als schwerwiegend eingestuften Vorfall genau liegt. Für kleinere Hersteller könnte der organisatorische Aufwand spürbar sein, selbst wenn die Plattform selbst nach Angaben des BSI einfach zu bedienen ist. Wie sich die Meldepraxis in den kommenden Monaten entwickelt und ob es zu ersten Bußgeldverfahren kommt, wird sich erst zeigen.
Was das für Entscheider bedeutet
- Prüfen Sie, ob Ihre Produkte unter die Definition digitaler Elemente im Sinne des CRA fallen.
- Legen Sie interne Meldewege fest, damit Schwachstellen fristgerecht über die CRA-SRP gemeldet werden.
- Klären Sie, welches CSIRT für Ihr Unternehmen zuständig ist, besonders bei Firmensitz außerhalb der EU.
Diese Meldung wurde automatisch aus der genannten Quelle erstellt und vor der Veröffentlichung maschinell geprüft. Das Bild ist ein Symbolbild und zeigt weder den Vorgang noch eine reale Person. Wie diese Zeitung entsteht