Der Cyber Resilience Act („CRA“)1 bringt erstmals unionsweit einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Während der Großteil der Regelungen erst ab 11. Dezember 2027 in Kraft tritt, sind die Berichtspflichten nach Art. 14 CRA bereits seit 11. September 2026 anwendbar.
Hersteller müssen seither insbesondere aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die sich auf die Sicherheit ihrer Produkte mit digitalen Elementen auswirken, melden. Für die Meldung gilt dabei eine besonders kurze Frist: Die erste Meldung muss innerhalb von 24 Stunden ab Kenntniserlangung erfolgen.
Mit dem Cyber Resilience Act (CRA) hat die Europäische Union erstmals umfassende, unmittelbar geltende Cybersicherheitsanforderungen für Produkte mit digitalen Elementen geschaffen. Die Verordnung soll das Cybersicherheitsniveau von Hard- und Softwareprodukten verbessern und einen einheitlichen Rechtsrahmen für grundlegende Cybersicherheitsanforderungen für das Inverkehrbringen von Produkten mit digitalen Elementen festlegen. Dabei soll sichergestellt werden, dass Sicherheitsaspekte bereits bei der Entwicklung und über den gesamten Lebenszyklus eines Produkts berücksichtigt werden.2
Der Anwendungsbereich ist weit. Erfasst werden grundsätzlich Produkte, die direkt oder indirekt mit einem anderen Gerät oder Netz verbunden sind. Dazu zählen etwa Software, Betriebssysteme, Hardwareprodukte, vernetzte Geräte und bestimmte Komponenten. Umfasst sind auch Verbraucherprodukte mit digitalen Elementen, die für schutzbedürftige Verbraucher bestimmt sind, wie z.B. Spielzeug und Babyphone-Systeme. Daneben fallen beispielsweise intelligente Haushaltsgeräte mit Sicherheitsfunktionen oder Smartphones in den Anwendungsbereich des CRA.3
Für Hersteller bedeutet der CRA insbesondere neue Anforderungen an die Planung, Entwicklung, Herstellung und Wartung ihrer Produkte.
Die konkreten Pflichten unterscheiden sich dabei sowohl nach der jeweiligen Produktkategorie – wobei zwischen allgemeinen, wichtigen und kritischen Produkten unterschieden wird4 – als auch nach der Rolle des jeweiligen Marktakteurs, etwa als Hersteller, Importeur, Händler.
Während die meisten Bestimmungen des CRA erst ab 11. Dezember 2027 anwendbar sind, gelten die Berichtspflichten für Hersteller nach Art. 14 CRA bereits seit 11. September 2026. Damit müssen Hersteller bereits heute auf die kurzen gesetzlichen Meldefristen vorbereitet sein.5
Hersteller ist laut CRA eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich.6 Der Anwendungsbereich des CRA beschränkt sich sohin nicht auf Unternehmen der Softwareindustrie. Erfasst werden vielmehr grundsätzlich alle Unternehmen, die Software für Dritte bereitstellen, unabhängig davon, ob diese Bereitstellung entgeltlich oder unentgeltlich erfolgt.
Die Meldepflichten nach Art. 14 CRA knüpfen an zwei unterschiedliche Ereignisse an: Zum einen an aktiv ausgenutzte Schwachstellen („actively exploited vulnerabilities“) in einem Produkt mit digitalen Elementen, zum anderen an schwerwiegende Vorfälle, die Auswirkungen auf die Sicherheit des Produkts haben.
Für aktiv ausgenutzte Schwachstellen sieht Art. 14 CRA ein dreistufiges Meldeverfahren vor.
Zunächst muss der Hersteller eine Frühwarnmeldung („early warning notification“) abgeben. Diese ist unverzüglich und jedenfalls innerhalb von 24 Stunden ab Kenntniserlangung zu übermitteln. Die Meldung muss insbesondere angeben, in welchen Mitgliedstaaten das betreffende Produkt nach Kenntnis des Herstellers bereitgestellt wurde. Die Frühwarnmeldung dient dabei zunächst der zeitnahen Information und setzt nicht voraus, dass bereits eine vollständige technische Analyse der Schwachstelle abgeschlossen wurde.
Behörden, die informiert werden müssen:
Zu informieren sind sowohl das zuständige nationale Computer-Notfallteam als auch die Agentur der Europäischen Union für Cybersicherheit (ENISA).
In Österreich ist hierfür das GovCERT Austria zuständig, das im Bundesministerium für Inneres, Abteilung IV/S/2 – Netz- und Informationssystemsicherheit, angesiedelt ist. Es ist unter der Adresse Herrengasse 7, 1010 Wien, telefonisch unter +43 1 531 26-0 sowie per E-Mail an post@nis.gv.at erreichbar. Weitere Informationen finden sich auf der Website unter www.govcert.gv.at.
Die Europäische Agentur für Cybersicherheit (ENISA) hat ihren Sitz in Athen, Griechenland mit Büros in Heraklion und Brüssel. Sie ist unter der Adresse Agamemnonos 14, Chalandri 15231, Attiki, Griechenland, telefonisch unter +30 28 14 40 9711 sowie per E-Mail an info@enisa.europa.eu erreichbar. Weitere Informationen finden sich auf der Website unter www.enisa.europa.eu.
Innerhalb von 72 Stunden ab Kenntniserlangung ist sodann eine weitergehende Schwachstellenmeldung abzugeben. Diese enthält – soweit verfügbar – insbesondere allgemeine Informationen über das betroffene Produkt, die Art der Ausnutzung und die Schwachstelle sowie bereits ergriffene oder mögliche Korrektur- und Minderungsmaßnahmen.
Damit unterscheidet Art. 14 CRA zwischen der ersten Frühwarnung innerhalb von 24 Stunden und der inhaltlich weitergehenden Meldung innerhalb von 72 Stunden.
Abschließend ist ein Abschlussbericht vorzulegen. Dieser ist spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme einzureichen. Der Abschlussbericht muss unter anderem eine Beschreibung der Schwachstelle einschließlich ihrer Schwere und Auswirkungen sowie – soweit verfügbar – Informationen über den ausnutzenden Angreifer und die zur Behebung bereitgestellten Sicherheitsupdates oder sonstigen Korrekturmaßnahmen enthalten.
Von der Meldepflicht für aktiv ausgenutzte Schwachstellen zu unterscheiden ist die Meldepflicht für schwerwiegende Sicherheitsvorfälle, die Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen haben.
Auch für solche Vorfälle sieht Art. 14 CRA ein mehrstufiges Meldeverfahren vor:
Der Hersteller hat zunächst innerhalb von 24 Stunden ab Kenntniserlangung eine Frühwarnmeldung abzugeben. Darauf folgt innerhalb von 72 Stunden eine weitergehende Meldung mit näheren Informationen zu dem Sicherheitsvorfall.
Der wesentliche Unterschied zur Meldepflicht bei aktiv ausgenutzten Schwachstellen liegt insbesondere beim Abschlussbericht: Während dieser bei einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme einzureichen ist, muss der Abschlussbericht bei einem schwerwiegenden Sicherheitsvorfall innerhalb eines Monats nach Abgabe der
72-Stunden-Meldung vorgelegt werden.
Damit unterscheiden sich die beiden Meldepflichten zwar hinsichtlich des auslösenden Ereignisses und der Frist für den Abschlussbericht, folgen im Hinblick auf die erste Reaktion des Herstellers jedoch einer vergleichbaren Grundstruktur: Frühwarnung innerhalb von 24 Stunden, weitergehende Meldung innerhalb von 72 Stunden und anschließender Abschlussbericht.
Die bereits seit 11. September 2026 anwendbaren Meldepflichten des Art. 14 CRA stellen Hersteller vor die Herausforderung, Sicherheitsvorfälle nicht nur technisch, sondern auch organisatorisch und rechtlich rasch zu bewältigen. Insbesondere die kurze 24-Stunden-Frist erfordert klare Zuständigkeiten, etablierte Prozesse und geeignete Kommunikationswege, um im Anlassfall eine unverzügliche und rechtskonforme Meldung sicherstellen zu können.
1 Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung) – Cyber Resilience Act (CRA.)
2 Erwägungsgrund (2) CRA.
3 Erwägungsgrund (10) CRA.
4 Im Detail hierzu Art 3 (Produkte mit digitalen Elementen), Art 7 (wichtige Produkte mit digitalen Elementen) und Art 8 (kritische Produkte mit digitalen Elementen) CRA.
5 Erwägungsgrund (126) CRA; Bestimmungen über die Notifizierung von Konformitätsbewertungsstellen, gelten zudem bereits seit dem 11. Juni 2026.
6 Artikel 3 Z 13 CRA.
