Jetzt gilt die CRA-Meldepflicht: Unser Praxisleitfaden
15.10.2026 | Seit dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act. Unser Praxisleitfaden zeigt, was Hersteller und ihre technischen Teams jetzt vorbereiten sollten.
Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Der Ablauf ist klar geregelt: eine Frühwarnung spätestens nach 24 Stunden, eine Folgemeldung nach 72 Stunden und anschliessend ein Abschlussbericht. Die übrigen CRA-Anforderungen folgen im Dezember 2027.
Für Hersteller und ihre technischen Teams ist die Meldung selbst nur der letzte Schritt. Davor muss geklärt sein, welche Produkt- und Softwarestände betroffen sind, ob eine Schwachstelle im konkreten System tatsächlich ausnutzbar ist und wer im Unternehmen was entscheidet. Diese Grundlagen lassen sich nicht erst im Ereignisfall aufbauen.
Unser Praxisleitfaden bietet dazu Orientierung. Er erklärt:
- wie sich aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle abgrenzen lassen, mit konkreten Beispielen
- welche Angaben in Frühwarnung, Folgemeldung und Abschlussbericht gehören und wie der Meldeweg über die CRA Single Reporting Platform der ENISA funktioniert
- warum eine aktuelle SBOM die technische Grundlage jeder Betroffenheitsbewertung ist
- wie ein Praxisbeispiel mit einem kundenspezifischen Bedienpanel in der Lieferkette abläuft
Eine Checkliste hilft Ihnen, den Stand Ihres eigenen Unternehmens einzuschätzen.
Als Hersteller von Embedded Systemen unterstützen wir unsere Kunden innerhalb des vereinbarten Lieferumfangs mit technischer Zuarbeit, von SBOM und CVE-Monitoring über die Bewertung der Betroffenheit bis zu Patches und aktualisierten Images. Die rechtliche Bewertung und die Verantwortung für das Endprodukt bleiben beim jeweiligen Hersteller.
