Nach dem formellen Inkrafttreten der ersten verbindlichen Stufe des europäischen Cyber Resilience Act (CRA) am vergangenen Freitag haben die Cybersicherheitsagentur der EU (ENISA) sowie nationale Behörden wie das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) die offiziellen Meldeplattformen für die IT-Wirtschaft freigeschaltet.
Ab sofort greift für alle Hersteller von Produkten mit digitalen Elementen – von vernetzter Hardware über Standardsoftware bis hin zu SaaS-Lösungen – eine strikte Meldepflicht: Sobald ein Unternehmen verlässliche Kenntnis über eine aktiv ausgenutzte Sicherheitslücke oder einen gravierenden Sicherheitsvorfall erlangt, muss innerhalb eines Zeitfensters von maximal 24 Stunden eine offizielle Frühwarnung an europäische Behörden übermittelt werden. Ein vollständiger technischer Bericht mit Ursachenanalyse und Korrekturmaßnahmen ist spätestens nach 72 Stunden fällig.
Die neu bereitgestellten Schnittstellen und Web-Portale sollen diesen Prozess vereinheitlichen. Um Fehlalarme zu vermeiden, stellten die Aufsichtsbehörden klar, dass routinemäßige automatisierte Scan-Aktivitäten von Bots keine Meldepflicht auslösen. Erforderlich ist vielmehr ein konkreter Nachweis, dass eine Schwachstelle aktiv für böswillige Zugriffe in freier Wildbahn instrumentalisiert wird. Dies betrifft insbesondere ungepatchte Zero-Day-Lücken und gravierende Fehler in Software-Lieferketten.
Für Softwareunternehmen und Digitaldienstleister im europäischen Wirtschaftsraum ist die Einrichtung standardisierter Incident-Response-Prozesse nun unausweichlich: Bei Verstößen gegen die gesetzlichen Meldefristen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, wie die Mitteilung der Cybersicherheitsagentur ENISA klarstellt.
Quellen
- ENISA, „Official Launch of the EU Cyber Resilience Act Notification Platform for Exploited Vulnerabilities“, 14. September 2026
- BSI, „Praxishinweise zur 24-Stunden-Meldepflicht unter dem Cyber Resilience Act“, 14. September 2026
