Cyber Resilience Act: Erste Meldepflichten treten in Kraft

Mit dem CRA verfolgt die Europäische Union das Ziel, die Cybersicherheit von Software, vernetzten Geräten und anderen digitalen Produkten nachhaltig zu stärken. Die umfassenden Produktanforderungen gelten zwar erst für neue Produkte, die ab Dezember 2027 auf den EU-Markt gebracht werden. Die Meldepflichten sind hingegen bereits jetzt in Kraft getreten.

Enge Fristen für Hersteller

Die Verordnung verpflichtet betroffene Hersteller zu einem klar definierten Meldeverfahren. So muss nach Bekanntwerden einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls innerhalb von 24 Stunden eine Erstmeldung erfolgen. Weitere Informationen und eine erste Bewertung sind innerhalb von 72 Stunden nachzureichen. Je nach Sachverhalt folgen anschließend weitere Abschlussberichte. Die Meldungen werden über die von der europäischen Cybersicherheitsagentur ENISA betriebene „Single Reporting Platform” abgewickelt.

Viele Unternehmen noch nicht vorbereitet

Eine repräsentative Umfrage des Branchenverbands Bitkom zeigt, dass zahlreiche Unternehmen noch erhebliche Wissens- und Umsetzungsdefizite aufweisen. Zwar haben 67 % der befragten Unternehmen bereits vom CRA gehört, doch nur 29 % können nach eigener Einschätzung die Auswirkungen der Verordnung auf das eigene Unternehmen beurteilen. 38 % kennen den CRA zwar dem Namen nach, können dessen Bedeutung aber nicht einordnen. Weitere 28 % haben von der Verordnung bislang noch nichts gehört.

Von Unternehmensseite kommt zudem Kritik, da die zentrale Meldeplattform erst zum Inkrafttreten der Meldepflichten zur Verfügung gestellt wurde. Eine vorherige Registrierung oder praktische Erprobung der Meldeprozesse war somit nicht möglich.

Gerade vor dem Hintergrund dieser geringen Vorbereitung zeigt sich, dass die Einhaltung der neuen Meldepflichten weit mehr als technisches Know-how erfordert. So müssen Unternehmen organisatorisch in der Lage sein, Vorfälle innerhalb kürzester Zeit zu bewerten und die erforderlichen Meldungen fristgerecht abzugeben. Dazu sind klare Zuständigkeiten, definierte Eskalationswege sowie ein aktueller Überblick über eingesetzte Produkte, Softwarekomponenten und mögliche Abhängigkeiten erforderlich. Ein professionelles Schwachstellenmanagement wird besonders für Hersteller zunehmend zur Pflicht. Software-Stücklisten (SBOM), etablierte Vulnerability-Management-Prozesse und nachvollziehbare Update-Strategien helfen dabei, regulatorische Anforderungen zu erfüllen und im Ernstfall schnell zu reagieren.

Handlungsbedarf für Unternehmen

Auch wenn sich die Meldepflichten unmittelbar an die Hersteller richten, sollten sich auch die Betreiber, Beschaffer und Vertriebspartner digitaler Produkte frühzeitig mit den Auswirkungen des CRA auseinandersetzen. Die Verordnung wird die Anforderungen an Lieferanten, Produktdokumentationen, Sicherheitsupdates und den gesamten Produktlebenszyklus nachhaltig verändern. Unternehmen sind daher gut beraten, ihre Prozesse in den Bereichen Governance, Incident Response und Schwachstellenmanagement bereits jetzt auf die neuen regulatorischen Anforderungen auszurichten.

Hinweis: Mit dem Start der ersten CRA-Meldepflichten beginnt die praktische Umsetzung einer der wichtigsten europäischen Cybersicherheitsverordnungen. Für betroffene Hersteller wird die Fähigkeit, Sicherheitsvorfälle innerhalb enger Fristen zu erkennen, zu bewerten und zu melden künftig zu einer zentralen Compliance-Anforderung. Gerne beraten wir Sie!