In den meisten Compliance-Kalendern wird das Gesetz zur Cyber-Resilienz als Verpflichtung ab Dezember 2027 aufgeführt. Ab diesem Zeitpunkt gelten die wesentlichen Bestimmungen der Verordnung: „Security by Design“, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung.

Die Meldepflichten treten jedoch bereits deutlich früher in Kraft. Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb festgelegter Fristen melden, und diese Pflichten erstrecken sich auch auf Produkte, die bereits auf dem EU-Markt in Verkehr gebracht wurden. Ein Produkt, das erstmals im Jahr 2018 ausgeliefert wurde und heute noch verkauft wird, fällt vom ersten Tag an in den Geltungsbereich.

Für Hersteller bedeutet dies eine 24-Stunden-Meldefrist. Für die weitaus größere Gruppe von Organisationen, die Technologie eher kaufen und betreiben, als sie auf den Markt zu bringen, führt die CRA etwas ein, das weniger sichtbar ist und auf das man deutlich weniger vorbereitet ist: einen neuen Strom von Sicherheitsmeldungen, die von Dritten eintreffen – und zwar nach deren Zeitplan und nicht nach dem eigenen.

Zwei Wochen vor dem Stichtag haben nur sehr wenige Organisationen festgelegt, wer diese Meldungen erhalten soll.

Was sich am 11. September ändert

Am Stichtag selbst ist keine Einreichung fällig. Es muss keine Erklärung abgegeben und kein Formular ausgefüllt werden. Der 11. September ist der Zeitpunkt, zu dem ereignisgesteuerte Verpflichtungen in Kraft treten, was die Planung erschwert im Vergleich zu einer herkömmlichen Frist. Auslöser ist ein Vorfall, und Vorfälle halten sich nicht an Kalendertermine.

Für Hersteller ist der Rahmen klar. Sobald ein Unternehmen Kenntnis davon erlangt, dass eine Schwachstelle in einem seiner Produkte aktiv ausgenutzt wird, hat es 24 Stunden Zeit, eine Frühwarnung herauszugeben, 72 Stunden, um eine ausführlichere Meldung zu übermitteln, und danach eine festgelegte Frist, um einen Abschlussbericht einzureichen. Die Strafen für die Nichteinhaltung der zentralen Herstellerpflichten der Verordnung belaufen sich auf 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Ob ein Unternehmen in diese Kategorie fällt, wird im Folgenden erörtert. Die allgemeinere Beobachtung, die bislang wenig Beachtung gefunden hat, ist, dass die unmittelbaren operativen Auswirkungen der CRA vor allem von Unternehmen zu spüren sein werden, die nicht direkt unter ihre Regulierung fallen.

Die Verordnung tritt nun noch vor der Schaffung der dazugehörigen Infrastruktur in Kraft

Es lohnt sich, einen Moment bei der Abfolge der im September in Kraft tretenden Maßnahmen innezuhalten.

Die von der ENISA betriebene Meldeplattform soll erst zu diesem Zeitpunkt und nicht bereits vorher betriebsbereit sein. Die harmonisierten Normen, die festlegen, wie die Einhaltung der Vorschriften für Hersteller aussehen soll, befinden sich noch in der öffentlichen Konsultation. Und die Verpflichtung zur Aufrechterhaltung einer koordinierten Richtlinie zur Offenlegung von Sicherheitslücken – der Mechanismus, durch den Hersteller am häufigsten erfahren, dass ihre Produkte ausgenutzt werden – gilt erst ab Dezember 2027 allgemein.

Die Meldepflicht geht somit der Verpflichtung voraus, den Kanal einzurichten, über den die meisten Meldungen eingehen.

Dies ist kein Versehen. Es spiegelt eine bewusste Änderung in der Abfolge der digitalen Regulierung in der EU wider: Verpflichtungen werden schrittweise eingeführt und treten noch vor der unterstützenden Infrastruktur in Kraft, mit der Begründung, dass das Warten auf eine vollständige Infrastruktur die Risikominderung um Jahre verzögern würde. NIS2 folgte diesem Muster. Das KI-Gesetz folgte ihm. Die CRA folgt ihm nun.

Für GRC-Funktionen hat dies eher strukturelle als taktische Auswirkungen. Compliance-Programme müssen zunehmend in der Zeitspanne zwischen dem Inkrafttreten einer Verpflichtung und der Reifung des sie umgebenden Ökosystems funktionieren. Eine Planung, die davon ausgeht, dass Vorschriften bereits in ihrer endgültigen Form vorliegen, basiert auf einem Modell, das nicht mehr zutrifft.

Feststellen, ob das CRA für Ihre Organisation gilt

Dies erfordert eine kurze und sorgfältige Prüfung, da Ausnahmen kostspielig sind.

Nur wenige Organisationen bezeichnen sich selbst als Hersteller. Die Verordnung stützt sich nicht auf die Selbstbeschreibung. Sie berücksichtigt, was auf den EU-Markt gebracht wird und unter wessen Namen oder Markenzeichen. Eigenmarken-Hardware, gebündelte Firmware, vernetzte Geräte, die unter dem eigenen Logo eines Unternehmens weiterverkauft werden, sowie in ein physisches Produkt eingebettete Software können eine Organisation in den Geltungsbereich der Verordnung bringen. Importeure und Vertreiber, die ein Produkt unter einer anderen Marke vertreiben oder wesentlich verändern, übernehmen damit auch die Pflichten des Herstellers.

Die entscheidende Frage lautet daher nicht, ob ein Unternehmen Software entwickelt. Sie lautet vielmehr: Was bringt das Unternehmen auf den EU-Markt, unter wessen Namen, und was enthält dieses Produkt?

Wir empfehlen, die Antwort noch diese Woche zu dokumentieren. Für die meisten Unternehmen ist dies eine kurze Aufgabe. Für eine Minderheit bedeutet dies jedoch den Unterschied zwischen einem kontrollierten und einem unvorhergesehenen Ablauf.

Die Verpflichtung, die eher den Nutzern als den Herstellern obliegt

Neben seinen Pflichten gegenüber den Behörden verpflichtet die CRA einen Hersteller, der Kenntnis von einer aktiv ausgenutzten Sicherheitslücke oder einem schwerwiegenden Vorfall erlangt, die betroffenen Nutzer und gegebenenfalls alle Nutzer zu informieren und ihnen etwaige Abhilfemaßnahmen mitzuteilen, die diese ergreifen können. Tut ein Hersteller dies nicht innerhalb einer angemessenen Frist, kann das koordinierende nationale CSIRT die Informationen direkt weitergeben.

Aus Sicht des Empfängers entsteht dadurch ein völlig neuer Informationsfluss. Ab dem 11. September werden Organisationen Sicherheitsmeldungen zu Produkten in ihrer eigenen Umgebung erhalten, die vom Hersteller dieser Produkte herausgegeben werden – häufig handelt es sich dabei nicht um den Geschäftspartner, mit dem sie in einer Geschäftsbeziehung stehen.

Daraus ergeben sich drei Konsequenzen.

Die Zuständigkeit ist unklar. Diese Benachrichtigungen gehen in der Regel bei einem Kundenbetreuer, in der Beschaffungsabteilung oder in einem gemeinsamen Postfach ein, das während der Geschäftszeiten überprüft wird. Nach unserer Erfahrung werden Schwachstellenhinweise von Lieferanten selten gezielt in die Vorab-Einstufung von Vorfällen weitergeleitet. Sie werden informell eskaliert, und zwar von demjenigen, der zufällig ihre Bedeutung erkennt.

Die Meldung löst eine Bewertung aus, nicht eine Berichterstattung. Diese Unterscheidung wird häufig falsch dargestellt und sollte genau geklärt werden. Eine Sicherheitswarnung eines Herstellers stellt an sich noch keinen meldepflichtigen Vorfall dar. Ob sie gemäß NIS2 oder DORA zu einem solchen wird, hängt davon ab, ob die eigenen Dienste der Organisation wesentlich betroffen sind, was innerhalb der ersten Stunde selten ersichtlich ist. Genau das ist das Argument für die Strukturierung der ersten Stunde. Wird die Schwelle anschließend erreicht, wird von der Organisation erwartet, dass sie den Zeitpunkt nachweist, zu dem sie davon Kenntnis erlangt hat.

Verträge gehen derzeit nicht darauf ein. Nur wenige Lieferantenvereinbarungen legen den Meldeweg, das Format, den namentlich genannten Empfänger oder den erwarteten Zeitrahmen fest. Hier bietet die CRA der Beschaffung etwas, was ihr bisher gefehlt hat. Ein Jahrzehnt lang beruhte die Sicherheitsgewährleistung von Lieferanten weitgehend auf Fragebögen mit begrenzter vertraglicher Verbindlichkeit. Die Verordnung legt nun eine Grundlage fest, auf deren Basis konkrete Verpflichtungen ausgehandelt werden können: Zugang zu einer Software-Stückliste (SBOM), eine veröffentlichte Offenlegungsrichtlinie, ein festgelegter Supportzeitraum und vereinbarte Meldeverfahren. Es ist zu beachten, dass die CRA Hersteller zwar zur Erstellung einer SBOM verpflichtet, sie jedoch nicht dazu verpflichtet, diese ihren Kunden zur Verfügung zu stellen. Für diese Unterscheidung sind Vertragsverlängerungen vorgesehen, und die meisten Verlängerungen fallen weit vor Dezember 2027 an.

Definition des Begriffs „Kenntnis“ innerhalb der Organisation

Jeder Zeitrahmen in dieser Regelung beginnt ab dem Zeitpunkt der Kenntnisnahme.

Die Europäische Kommission hat sich auf Herstellerebene mit diesem Thema befasst und im Juli 2026 Leitlinien veröffentlicht, in denen erläutert wird, wann davon ausgegangen wird, dass ein Hersteller Kenntnis erlangt hat. Was keine externe Leitlinie festlegen kann, ist, wer innerhalb einer bestimmten Organisation befugt ist, im Namen des Unternehmens Kenntnis zu erlangen.

In der Praxis kommt das Signal um 19:00 Uhr über einen Support-Techniker, einen Forscher, der an eine allgemeine E-Mail-Adresse schreibt, oder das Sicherheitsteam eines Kunden, das einen im Urlaub befindlichen Kundenbetreuer kontaktiert.

Die Parallele zur DSGVO ist aufschlussreich. Datenschutzverletzungen wurden mit wochenlangem Verspätung gemeldet – nicht aufgrund von Verschleierung, sondern aufgrund fehlender Klassifizierung. Der Support erfasste das Problem als Fehler. Die IT-Abteilung behandelte es als Fehlkonfiguration. Niemand hatte sich darauf geeinigt, was ein meldepflichtiges Ereignis darstellt; die Bewertung wurde nie eingeleitet, und die Rechtsabteilung wurde erst darauf aufmerksam, als ein Kunde eine Frage stellte.

Drei Dinge sollten vor dem 11. September in dokumentierter Form vorliegen: die Kriterien, die eine sofortige Bewertung auslösen, die Personen, die befugt sind, den Vorfall zu eskalieren und außerhalb der Geschäftszeiten eine Entscheidung zu treffen, sowie die Aufzeichnung, in der dieser Moment festgehalten wird.

Prioritäten für die nächsten zwei Wochen

Zwei Wochen reichen nicht aus, um ein vollständiges CRA-Programm aufzubauen. Sie reichen jedoch aus, um die Komponenten zu etablieren, die als Erstes in Betrieb gehen.

Für Unternehmen, die Produkte auf dem EU-Markt in Verkehr bringen:

• Dokumentieren Sie den Umfang der Bewertung, einschließlich Eigenmarken-, eingebetteter, gebündelter und umbenannter Produkte
• Listen Sie die betroffenen Produkte auf, einschließlich älterer Versionen, und klassifizieren Sie jedes einzelne
• Veröffentlichen Sie eine koordinierte Richtlinie zur Offenlegung von Sicherheitslücken und eine überwachte Kontaktadresse
• Ermitteln Sie das nationale CSIRT, das als Koordinator für Ihren Hauptstandort benannt wurde
• Erstellen Sie vorab ein EU-Login-Konto; beachten Sie dabei, dass die ENISA Organisationen gebeten hat, die Registrierung auf der Plattform und die CSIRT-Validierung erst dann einzuleiten, wenn sie eine konkrete Aufforderung zur Einreichung erhalten haben
• Benennen Sie die Person, die Sicherheitsbenachrichtigungen der Hersteller entgegennimmt, sowie einen Stellvertreter
• Leiten Sie diesen Kanal in die Vorab-Einstufung von Vorfällen weiter, anstatt ihn an die Beschaffungsabteilung zu leiten
• Legen Sie die Frage zur regulatorischen Weiterleitung bereits bei der Triage fest: Welche Regelwerke könnten durch dieses Ereignis betroffen sein, und erfüllt es deren Schwellenwerte
• Fragen Sie Ihre wichtigsten Lieferanten noch vor dem 11. September, wie und an wen sie Sie benachrichtigen werden
• Führen Sie außerhalb der Geschäftszeiten eine Tabletop-Übung unter Zeitdruck durch

Für alle anderen Organisationen:

Der letzte Punkt ist der einzige, der zeigt, ob die anderen funktionieren.

Fazit

Eine Organisation kann jedes verfügbare Instrument einsetzen und dennoch den entscheidenden Moment verpassen.

Eine Frühwarnung lässt sich nicht allein aufgrund eines Zertifikats auslösen. Ein Produkt lässt sich nicht allein anhand einer Richtlinie klassifizieren. Und eine 24-Stunden-Bewertung lässt sich nicht anhand eines Prozesses durchführen, der nur als Dokument existiert, das niemand einstudiert hat.

Die Organisationen, die den September gut bewältigen, sind diejenigen, in denen eine namentlich benannte Person, die an einem Samstag um 19:00 Uhr kontaktiert wird, versteht, dass sie befugt ist, zu handeln.

Unabhängig von der Technologie beginnt alles mit dem richtigen Maß an Governance.

Wie Integrity360 helfen kann

Zwei Wochen reichen nicht aus, um ein CRA-Programm aufzubauen, aber sie reichen aus, um die beiden Fragen zu beantworten, die dieser Artikel aufwirft: ob die Verordnung für Ihre Organisation gilt und wer die Benachrichtigung erhält, wenn sie eintrifft.

Unsere CRA-Dienstleistungen umfassen die Abgrenzung des Anwendungsbereichs, die Vorbereitung auf die Berichterstattung gemäß Artikel 14, die Weiterleitung von Lieferantenbenachrichtigungen sowie die Integration der CRA-Verpflichtungen in die bereits laufenden NIS2- und DORA-Programme.

Wir empfehlen Organisationen, dieses Gespräch noch vor dem 11. September zu führen. Nach diesem Datum stellt sich die Situation anders dar.