EU-CRA-2026-Bereitschaft: Fristen, Entscheidungen und sofortige Maßnahmen
Executive Summary
Viele Teams betrachten den EU Cyber Resilience Act (CRA) noch immer als ein „Problem für 2027“. Das ist der falsche Planungshorizont.
- Der Cyber Resilience Act der Europäischen Union wandelt sich 2026 von einer legislativen Theorie zur operativen Realität und markiert damit einen entscheidenden Wendepunkt für Hersteller von Produkten mit digitalen Elementen (PDEs). Auch wenn die vollständige Anwendung erst im Dezember 2027 erfolgt, ist das Jahr 2026 die entscheidende Phase der „operativen Bereitschaft“, in der zentrale Verpflichtungen rechtsverbindlich werden.
Mit höchster Dringlichkeit treten die verpflichtenden Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle am 11. September 2026 in Kraft. Dadurch werden strenge Fristen von 24 Stunden für eine Frühwarnmeldung und 72 Stunden für eine Benachrichtigung eingeführt, die für alle erfassten Produkte gelten, einschließlich bereits auf dem Markt befindlicher Altgeräte. Die Nichteinhaltung dieser Fristen oder wesentlicher Cybersicherheitsanforderungen kann zu Geldbußen von bis zu 15 Mio. € oder 2,5 % des weltweiten Umsatzes führen, je nachdem, welcher Betrag höher ist (Artikel 64 der Verordnung (EU) 2024/2847).
Operative Engpässe werden bis Ende 2026 erwartet. Der Rahmen für die Notifizierung von Konformitätsbewertungsstellen (Conformity Assessment Bodies, CABs) gilt ab dem 11. Juni 2026. Hersteller „wichtiger“ und „kritischer“ Produkte müssen sich Prüfkapazitäten bei diesen Stellen sichern, bevor sich die Kapazitäten im Vorfeld des operativen Zieldatums im Dezember 2026 verknappen.
Zur Vorbereitung sollten Organisationen den Fokus auf die Automatisierung der Erstellung von Software Bill of Materials (SBOM) legen, um die Dokumentationsanforderungen zu erfüllen, ein Product Security Incident Response Team (PSIRT) einrichten, das in der Lage ist, die 24-Stunden-Meldefrist einzuhalten, und Lieferantenverträge aktualisieren, um Transparenz in der vorgelagerten Lieferkette sicherzustellen.Während die zentralen Produktanforderungen des CRA ab dem 11. Dezember 2027 vollständig gelten, treten 2026 zwei entscheidende Bausteine in Kraft, die unmittelbare rechtliche Wirkung entfalten.
Warum 2026 entscheidend ist: Vom Gesetzestext zur operativen Realität
Während die zentralen Produktanforderungen des CRA ab dem 11. Dezember 2027 vollständig gelten, treten 2026 zwei entscheidende Bausteine in Kraft, die unmittelbare rechtliche Wirkung entfalten.
Erstens wird das Melderegime aktiv. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über eine zentrale, von ENISA verwaltete Plattform melden. Diese Verpflichtung gilt rückwirkend für bereits in Verkehr gebrachte Produkte, sodass auch bestehende Produktbestände erfasst sind.
Zweitens wird die Infrastruktur für Konformitätsbewertungen verfügbar sein. Der rechtliche Rahmen für die Notifizierung von Konformitätsbewertungsstellen gilt ab dem 11. Juni 2026. Dadurch können die Mitgliedstaaten die „benannten Stellen“ bestimmen, die Produkte mit höherem Risiko prüfen werden. Da die ersten benannten Stellen voraussichtlich bis zum 11. Dezember 2026 operativ sein werden, stehen Hersteller unter Zeitdruck, sich Partner zu sichern, bevor die marktweite Nachfrage zu Engpässen führt.
Was sich 2026 tatsächlich ändert
Vier Termine bestimmen die Reihenfolge für die Compliance. Werden diese verpasst, entstehen unmittelbare regulatorische Risiken oder die Gefahr, dass Produkteinführungen aufgrund von Zertifizierungsstaus verzögert werden.
Wichtige CRA-Meilensteine 2026 und erforderliche Maßnahmen
| Datum | Was passiert | Warum es wichtig ist | Maßnahmen Ihrerseits |
|---|---|---|---|
| Anfang 2026 | Veröffentlichung der Leitlinien der Kommission | Klärt Umfang und „wesentliche Änderungen“ | Leitlinien prüfen, um das Produktinventar abzuschließen |
| 11.Juni 2026 | Rahmen für Konformitätsbewertungsstellen gilt | Benannte Stellen können bestimmt werden | NANDO-Datenbank überwachen; Auditoren vorqualifizieren |
| Q3 2026 | Harmonisierte Normen erwartet | Vermutung der Konformität wird möglich | Annex-I-Kontrollen auf neue Normen abgleichen |
| 11.September2026 | Artikel 14-Meldung aktiv | Verpflichtende 24-/72-Stunden-Meldung beginnt | PSIRT-Übungen aktiv; SRP-Onboarding abgeschlossen |
| 11.Dezember, 2026 | Benannte Stellen operativ | Prüfkapazitäten werden verfügbar | Verträge abschließen, um Prüfplätze zu sichern |
Artikel 14 Meldeanforderungen
Der CRA legt einen strengen, mehrstufigen Meldezeitplan fest, der Automatisierung erfordert. Manuelle Prüfungen werden voraussichtlich nicht ausreichen, um die 24-Stunden-Frist einzuhalten. Alle Meldungen müssen über die von ENISA verwaltete „Single Reporting Platform“ (SRP) eingereicht werden.
Artikel 14 Meldeanforderungen
| Ereignistyp | Phase | Frist | Kerninhalt |
|---|---|---|---|
| Ausgenutzte Schwachstelle | Frühwarnung | Innerhalb von 24 Stunden | Bekanntwerden des Ereignisses; betroffene Mitgliedstaaten |
| Ausgenutzte Schwachstelle | Meldung | Innerhalb von 72 Stunden | Allgemeine Informationen, erste Bewertung, Korrekturmaßnahmen |
| Ausgenutzte Schwachstelle | Abschlussbericht | 14 Tage nach Patch | Beschreibung der Schwachstelle, Schweregrad und Behebung |
| Schwerwiegender Vorfall | Frühwarnung | Innerhalb von 24 Stunden | Verdacht auf bösartige Ursache; betroffene Mitgliedstaaten |
| Schwerwiegender Vorfall | Meldung | Innerhalb von 72 Stunden | Erste Bewertung von Schwere und Auswirkungen |
| Schwerwiegender Vorfall | Abschlussbericht | Innerhalb von 1 Monat | Ursache, Schweregrad und Gegenmaßnahmen |
Produktklassifizierung und Konformitätswege
Eine fehlerhafte Klassifizierung kann zu erheblichen Verzögerungen führen. Produkte werden nach Risiko eingestuft, was bestimmt, ob ein Hersteller eine Selbsteinschätzung vornehmen kann oder einen Dritten einbeziehen muss.
Wichtige Produkte (Klasse I & II)
Produkte mit kritischen Funktionen, wie Betriebssysteme, Firewalls, Router und industrielle Steuerungssysteme, fallen in die Kategorie „Wichtig“.
Standardkategorie
Produkte, die nicht in Anhang III oder IV aufgeführt sind (z. B. Smart Speaker für Verbraucher), fallen in die Standardkategorie.
SBOM und Transparenz in der Lieferkette
Eine Software Bill of Materials (SBOM) ist ein verpflichtender Bestandteil der technischen Dokumentation. Sie ist entscheidend, um die 24-Stunden-Meldefrist einzuhalten, da sie eine schnelle Identifikation betroffener Produkte ermöglicht.
SBOM-Anforderungen:
- Maschinell lesbares Format (empfohlen: CycloneDX oder SPDX)
- Abdeckung aller Drittanbieter- und Open-Source-Komponenten
- Versionierung für jede Produktfreigabe
- Aktualisierung bei jedem Build, der Abhängigkeiten ändert
- Zugriff für das Response-Team, um schnelle Abfragen während Vorfällen zu ermöglichen
Lieferantenvertragsklauseln zur Ermöglichung der CRA-Compliance
| Klausel | Warum es wichtig ist | Praktisches Ziel |
|---|---|---|
| SBOM-Lieferung | Erforderlich für die technische Dokumentation | Maschinell lesbare SBOM für jede Version |
| Schwachstellenmeldung | Ermöglicht 24-Stunden-CRA-Compliance | Lieferant muss innerhalb von 12–18 Stunden melden |
| Sicherheits-Support | Gewährleistet Compliance über den Produktlebenszyklus | Support für die gesamte Supportperiode des Produkts (mind. 5 Jahre) |
| Prüfrechte | Überprüft die Konformität | Recht auf Anforderung von Dokumentation/Audit-Sicherheit |
Technische Dokumentation und CE-Kennzeichnung
Die technische Dokumentation ist die umfassende Nachweismappe, die die CE-Kennzeichnung rechtfertigt. Sie muss vor dem Inverkehrbringen des Produkts erstellt, fortlaufend aktualisiert und mindestens 10 Jahre oder für die Dauer der Supportperiode aufbewahrt werden.
Hersteller müssen zudem während der gesamten Supportperiode des Produkts Sicherheitsupdates bereitstellen, mindestens 5 Jahre ab dem Datum des Inverkehrbringens (Artikel 13). Dies betrifft auch Altprodukte: Ein 2023 verkauftes und 2025 eingestelltes Gerät kann weiterhin Supportpflichten bis 2028 haben. Organisationen sollten dies in der Produktlebenszyklusplanung berücksichtigen und das Support-Enddatum klar an Kunden kommunizieren.
Ein praxisnaher Plan zur Erreichung der Einsatzbereitschaft bis September 2026
Phase 1: Bestandsaufnahme und Priorisierung
- Vollständiges Inventar von Produkten, Standorten, Komponenten und Abhängigkeiten erstellen
- Aktuelle Reife des Schwachstellenmanagements bewerten
- Lücken bei SBOM-Abdeckung, Triage-SLAs und Meldebereitschaft identifizieren
Phase 2: Prozessaufbau und Automatisierung
- SBOM-Erstellung in CI/CD implementieren oder stabilisieren
- CVE-Informationen mit tatsächlichen Build-Artefakten und Versionen verknüpfen
- Playbooks nach Artikel 14 mit klaren Übergaben formal festlegen
Phase 3: Übungen und Härtung
- Tabletop- und Live-Simulationen durchführen
- Tatsächliche Reaktionszeiten Schritt für Schritt messen
- Eskalationswege, Templates und Verantwortlichkeiten anpassen
Das Ziel ist die nachweisbare Fähigkeit, nicht die Dokumentation. Teams sollten in der Lage sein, den vollständigen Meldezyklus unter realistischen Bedingungen durchzuführen.
Final Takeaway
Für SaaS-Anbieter ist die CRA-Bereitschaft 2026 in erster Linie eine Herausforderung des Betriebsmodells. Wenn Ihr Team nicht in der Lage ist, innerhalb des 24-/72-Stunden-Zyklus zu erkennen, zu bewerten und zu melden, entsteht das Risiko, noch bevor 2027 beginnt.
Der beste Ansatz besteht darin, den CRA nicht als einmaliges Compliance-Projekt zu betrachten, sondern als dauerhafte Produktfähigkeit, die sicheres Engineering, Schwachstelleninformationen und disziplinierte Umsetzung kombiniert.
Quellen
