Cyber Resilience Act: Warum Art. 14 bereits ab dem 11. September 2026 gilt und warum Softwareunternehmen jetzt handeln müssen

Viele Unternehmen beschäftigen sich derzeit mit der Umsetzung des Cyber Resilience Act (CRA) und gehen davon aus, dass die neuen Vorgaben erst ab dem 11. Dezember 2027 relevant werden. Diese Annahme ist jedoch nur teilweise richtig.

Tatsächlich hat der europäische Gesetzgeber einen wesentlichen Teil des CRA vorgezogen: Die Meldepflichten gemäß Art. 14 CRA gelten bereits ab dem 11. September 2026. Für Softwareunternehmen bedeutet dies, dass sie schon deutlich früher Prozesse für das Vulnerability Management und die Incident Response etablieren müssen. Wer erst 2027 mit der Umsetzung beginnt, könnte bereits ein Jahr zuvor gegen europäisches Recht verstoßen.

Der häufigste Irrtum: Der CRA gilt nicht erst ab Dezember 2027

Der Cyber Resilience Act tritt gestaffelt in Anwendung. Während der Großteil der Verordnung erst ab dem 11. Dezember 2027 gilt, sieht Art. 71 CRA ausdrücklich vor, dass Art. 14 bereits ab dem 11. September 2026 Anwendung findet. Zudem gilt Kapitel IV über die Notifizierung von Konformitätsbewertungsstellen bereits ab dem 11. Juni 2026.

Der Gesetzgeber verfolgt damit ein klares Ziel: Behörden und CSIRTs sollen frühzeitig über kritische Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen informiert werden, damit Risiken für Nutzer in der Europäischen Union rasch erkannt und eingedämmt werden können.

Besonders bemerkenswert ist, dass die Meldepflichten auch für Produkte gelten können, die bereits vor dem eigentlichen Anwendungsbeginn des CRA in Verkehr gebracht wurden. Unternehmen können sich daher nicht darauf berufen, dass ihre Software bereits vor Dezember 2027 ausgeliefert wurde.

Was genau müssen Hersteller ab September 2026 melden?

Art. 14 CRA verpflichtet Hersteller insbesondere dazu, bestimmte Sicherheitsereignisse an das zuständige CSIRT und an die ENISA zu melden. Dazu gehören vor allem:

• aktiv ausgenutzte Schwachstellen („actively exploited vulnerabilities“),
• schwerwiegende Sicherheitsvorfälle („severe incidents“), die die Sicherheit eines Produkts beeinträchtigen.

Die Meldung erfolgt stufenweise:

• Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung,
• Folgemeldung innerhalb von 72 Stunden,
• Abschlussbericht innerhalb der gesetzlich vorgesehenen Fristen.

Die Europäische Kommission stellt in ihren Leitlinien ausdrücklich klar, dass interne Untersuchungen die Meldung nicht verzögern dürfen. Sobald ein Hersteller mit hinreichender Sicherheit davon ausgehen kann, dass eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall vorliegt, beginnt die Frist zu laufen.

Warum gerade Softwareunternehmen besonders betroffen sind

Für viele Softwarehersteller stellt Art. 14 CRA einen Paradigmenwechsel dar.

Bislang beschränkte sich das Schwachstellenmanagement vielfach auf die technische Behebung eines Problems. Künftig müssen Unternehmen zusätzlich beurteilen, ob ein regulatorischer Meldeprozess ausgelöst wird.

In der Praxis bedeutet dies:

• Aufbau eines dokumentierten Vulnerability-Management-Prozesses,
• klare Verantwortlichkeiten für regulatorische Entscheidungen,
• Rufbereitschaften und Vertretungsregelungen für Wochenenden und Feiertage,
• Nachweisführung über Awareness-Timestamps und Entscheidungsprozesse,
• Vorbereitung auf die Nutzung der ENISA Single Reporting Platform.

Besonders herausfordernd ist dabei die kurze 24-Stunden-Frist. Unternehmen benötigen daher nicht nur technische Expertise, sondern auch organisatorische und rechtliche Prozesse, um rasch beurteilen zu können, ob eine Meldepflicht besteht.

Was Softwareunternehmen jetzt tun sollten

Auch wenn die allgemeinen CRA-Anforderungen erst Ende 2027 greifen, sollten Hersteller die verbleibende Zeit bis September 2026 nutzen.

Empfehlenswert sind insbesondere folgende Maßnahmen:

• Erstellung einer CRA-Reporting-Policy,
• Definition eines Incident-Response-Prozesses mit regulatorischer Eskalation,
• Implementierung eines Schwachstellenmanagements nach dem Stand der Technik,
• Aufbau einer revisionssicheren Dokumentation,
• Schulung von Security-, Development- und Legal-Teams,
• Durchführung von Meldeübungen vor dem 11. September 2026.

Der Cyber Resilience Act ist kein reines Produktsicherheitsgesetz. Mit Art. 14 schafft die Verordnung bereits ab 2026 ein europaweites Meldewesen für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Unternehmen, die ihre Prozesse rechtzeitig aufbauen, reduzieren nicht nur regulatorische Risiken, sondern verbessern gleichzeitig ihre Fähigkeit, Sicherheitsvorfälle professionell zu erkennen und zu bewältigen.

Fazit

Wer Software entwickelt oder vertreibt, sollte den 11. September 2026 als ersten großen CRA-Stichtag betrachten. Die Zeit bis dahin sollte genutzt werden, um Meldeprozesse, Verantwortlichkeiten und Dokumentationspflichten praxisgerecht umzusetzen. Denn für die Behörden wird ab diesem Datum nicht mehr entscheidend sein, ob ein Unternehmen eine Policy besitzt, sondern ob es innerhalb von 24 Stunden tatsächlich melden kann.

‍