Was ist passiert?
Seit dem 11. September 2026 gelten in der Europäischen Union die Meldepflichten des Cyber Resilience Act (CRA). Hersteller von Produkten mit digitalen Elementen sind damit verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit unverzüglich zu melden. Diese Neuregelung gilt als zentraler Meilenstein zur Stärkung der Produktsicherheit im EU-Binnenmarkt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt betroffene Unternehmen mit Schritt-für-Schritt-Anleitungen zur praktischen Umsetzung.
Die Details
Die Übermittlung der Meldungen erfolgt EU-weit standardisiert über die von der Agentur der Europäischen Union für Cybersicherheit (ENISA) entwickelte Single Reporting Platform, kurz CRA-SRP. Empfänger der Informationen sind das jeweils zuständige koordinierende Computer Security Incident Response Team (CSIRT) des betroffenen Mitgliedstaates sowie die ENISA selbst. Für Bundesunternehmen in Deutschland übernimmt das CERT-Bund im BSI die Funktion des koordinierenden CSIRTs.
Die Zuständigkeit richtet sich bei Herstellern mit Hauptniederlassung innerhalb der EU nach demjenigen Mitgliedstaat, in dem die wesentlichen Entscheidungen zur Cybersicherheit der Produkte getroffen werden. Für Unternehmen ohne EU-Hauptniederlassung greifen die Kriterien nach Artikel 14 Absatz 7 des CRA. Maßgeblich sind hier unter anderem der Sitz eines Bevollmächtigten, Importeurs oder Händlers sowie die Verfügbarkeit des Produkts auf den jeweiligen Märkten.
Kenntnisse über ausgenutzte Schwachstellen erlangen Hersteller beispielsweise durch IT-Sicherheitsdienstleister oder Rückmeldungen von Kunden. Schwerwiegende Sicherheitsvorfälle lassen sich zudem durch externe Hinweise sowie die interne Auswertung von Anwendungs- und System-Logdaten identifizieren. Die CRA-SRP dient dabei als zentrale und vertrauliche Schnittstelle: Eine einzige Meldung reicht aus, um über das zuständige CSIRT zeitgleich die entsprechenden Teams aller EU-Mitgliedstaaten zu informieren, in denen das jeweilige Produkt vertrieben wird. Eine vorherige Registrierung auf der Plattform ist nicht notwendig, die Meldungsabgabe ist innerhalb weniger Minuten möglich. Die Infrastruktur wird unter Einhaltung aktueller Sicherheitsstandards in Europa betrieben.
Einordnung
Für die Sicherheitsbranche ist diese Entwicklung von unmittelbarer Bedeutung, da moderne Sicherheitstechnik zunehmend digitale Komponenten enthält – von vernetzten Alarmanlagen über IP-basierte Videoüberwachungssysteme bis hin zu digitalen Zutrittskontrollsystemen. Auch Hersteller von Produkten wie elektronisch überwachten Einwurftresoren, digital vernetzten Opferstöcken in Kirchen oder modernen Wardhub-Systemen für die Zutrittskontrolle fallen unter die neue Definition von "Produkten mit digitalen Elementen" und müssen die CRA-Meldepflichten beachten, sofern ihre Produkte digitale Elemente enthalten.
Die Einführung eines einheitlichen, zentralisierten Meldewegs über die CRA-SRP erhöht die Transparenz bezüglich digitaler Sicherheitsrisiken im gesamten EU-Binnenmarkt maßgeblich. Statt einzelner, uneinheitlicher nationaler Meldeverfahren entsteht ein koordiniertes System, das Behörden EU-weit gleichzeitig informiert und damit die Reaktionsfähigkeit auf sicherheitsrelevante Vorfälle verbessert.
Praxis-Tipps
- Hersteller digitaler Sicherheitstechnik sollten frühzeitig prüfen, ob ihre Produkte unter die CRA-Meldepflichten fallen und welche Zuständigkeit für sie greift.
- Unternehmen ohne Hauptniederlassung in der EU sollten die Kriterien nach Artikel 14 Absatz 7 des CRA genau prüfen, um die zuständige Meldestelle korrekt zu identifizieren.
- Interne Prozesse zur Auswertung von Anwendungs- und System-Logdaten sowie zum Umgang mit Kundenrückmeldungen und Hinweisen von IT-Sicherheitsdienstleistern sollten etabliert oder überprüft werden, um Schwachstellen zeitnah zu erkennen.
- Da keine vorherige Registrierung auf der CRA-SRP notwendig ist, empfiehlt sich eine frühzeitige Auseinandersetzung mit dem Meldeprozess, um im Ernstfall schnell handeln zu können.
- Die vom BSI bereitgestellten Schritt-für-Schritt-Anleitungen sowie die Informationsangebote der ENISA bieten eine praktische Grundlage zur Umsetzung der neuen Anforderungen.
Ausblick
Mit dem Start der CRA-Meldepflichten wird ein wichtiger Baustein der europäischen Cybersicherheitsstrategie umgesetzt. Weiterführende Details zur Nutzung der Plattform und den formalen Abläufen stellen das BSI sowie die ENISA auf ihren jeweiligen Webseiten bereit. Für Hersteller von Sicherheitstechnik mit digitalen Komponenten dürfte die konsequente Umsetzung dieser Meldepflichten künftig zu einem festen Bestandteil des Produktlebenszyklus werden – vergleichbar mit bestehenden Anforderungen an Zertifizierung und Konformität in der Branche.
