Perspektiven · Briefing · Industrie
Was der Cyber Resilience Act von Herstellern verlangt
Seit dem 11. September 2026 müssen Hersteller vernetzter Produkte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die erste Warnung innerhalb von 24 Stunden. Ab dem 11. Dezember 2027 gilt die Verordnung vollständig, mit Anforderungen an Entwicklung, Auslieferung und Wartung jedes Produkts.
Auf einen Blick
- Die Verordnung gilt für Produkte mit digitalen Elementen, deren Zweck oder vorhersehbare Verwendung eine Datenverbindung mit einem Gerät oder Netz einschließt.
- Aktiv ausgenutzte Schwachstellen meldet der Hersteller in drei Stufen, mit einer Frühwarnung innerhalb von 24 Stunden, einer Meldung innerhalb von 72 Stunden und einem Abschlussbericht.
- Bei Verstößen gegen die grundlegenden Anforderungen und gegen die Pflichten der Hersteller drohen Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Wer betroffen ist
Die Verordnung erfasst Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vorhersehbare Verwendung eine Datenverbindung mit einem Gerät oder Netz einschließt. Ihre Pflichten treffen vor allem den Hersteller. Das ist, wer solche Produkte entwickelt oder herstellt oder entwickeln und herstellen lässt und sie unter eigenem Namen oder eigener Marke vermarktet.
Artikel 2 Absatz 1 und Artikel 3 Nummer 13 der Verordnung (EU) 2024/2847.
- 10. Dezember 2024Der Cyber Resilience Act tritt in Kraft.
- 11. September 2026Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.
- 11. Dezember 2027Alle Pflichten gelten, auch die grundlegenden Anforderungen an Produkte nach Anhang I.
Melden innerhalb von 24 Stunden
Seit dem 11. September 2026 meldet ein Hersteller jede aktiv ausgenutzte Schwachstelle und jeden schwerwiegenden Sicherheitsvorfall über eine einheitliche Meldeplattform an das zuständige CSIRT und an die ENISA. Die Frühwarnung ist innerhalb von 24 Stunden fällig, die Meldung innerhalb von 72 Stunden. Den Abschlussbericht verlangt die Verordnung bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur zur Verfügung steht, bei Sicherheitsvorfällen innerhalb eines Monats nach der Meldung.
Artikel 14 Absätze 1 bis 4 und Artikel 71 Absatz 2 der Verordnung (EU) 2024/2847.
Was ab Dezember 2027 für jedes Produkt gilt
Ab dem 11. Dezember 2027 müssen Hersteller ihre Produkte nach den grundlegenden Anforderungen in Anhang I konzipieren, entwickeln und herstellen. Grundlage ist eine Bewertung der Cybersicherheitsrisiken, die in Planung, Entwicklung, Herstellung, Lieferung und Wartung einfließt.
Artikel 13 Absätze 1 und 2 der Verordnung (EU) 2024/2847.
- Produkte kommen ohne bekannte ausnutzbare Schwachstellen auf den Markt.
- Sie werden mit einer sicheren Standardkonfiguration ausgeliefert und lassen sich in den Ursprungszustand zurücksetzen.
- Schwachstellen lassen sich durch Sicherheitsaktualisierungen beheben, gegebenenfalls automatisch als Standardeinstellung mit der Möglichkeit, sie abzulehnen.
- Kontrollen schützen vor unbefugtem Zugriff und melden ihn, gespeicherte und übermittelte Daten bleiben vertraulich und unverändert.
Auswahl aus Anhang I Teil I Nummer 2 der Verordnung (EU) 2024/2847, keine vollständige Liste.
Was auf dem Spiel steht
Bei Verstößen gegen die grundlegenden Anforderungen und gegen die Pflichten aus den Artikeln 13 und 14 werden Geldbußen von bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.
Artikel 64 Absatz 2 der Verordnung (EU) 2024/2847.
Aufgaben bis Dezember 2027
- Eine Übersicht aller Produkte mit digitalen Elementen und ihrer Datenverbindungen.
- Ein Ablauf, in dem eine ausgenutzte Schwachstelle innerhalb von 24 Stunden erkannt, bewertet und gemeldet wird, mit klaren Zuständigkeiten.
- Eine Risikobewertung je Produkt, die in Entwicklung, Lieferung und Wartung einfließt.
- Ein Plan für Sicherheitsaktualisierungen über die Nutzungsdauer der Produkte.
Empfehlung von 1nthink, keine abschließende Liste der gesetzlichen Pflichten.
Was das für die Führung bedeutet
Der Cyber Resilience Act macht Cybersicherheit zu einer Aufgabe der Produktentwicklung. Wer früh beginnt, plant die Anforderungen in laufende Entwicklungszyklen ein und muss fertige Produkte seltener nachrüsten.
Die Meldefrist von 24 Stunden ist vor allem eine Frage der Abläufe. Entwicklung, Service und Geschäftsführung müssen wissen, wer was entscheidet und wer meldet.
Zum LeistungsmodellQuellen
Dieser Beitrag gibt einen Überblick über den Rechtsstand im Oktober 2026 und ersetzt keine Rechtsberatung.
Weiterlesen
Weitere Perspektiven
- 01
Leitfaden · Effizienz
Fünf Felder, in denen Unternehmen Effizienz verlieren
Effizienzverluste entstehen selten an einer einzigen Stelle. Sie verteilen sich auf Abläufe, Ressourcen, Technik, Arbeitszeit und Prioritäten. Wer sie systematisch erfasst, sieht, wo sich Veränderungen wirtschaftlich lohnen und wo nicht.
- 02
Briefing · Regulierung
Was ab Dezember 2027 für künstliche Intelligenz in Unternehmen gilt
Die europäische Verordnung über künstliche Intelligenz stuft den Einsatz in der Personalauswahl und bei Personalentscheidungen als Anwendung mit hohem Risiko ein, bei Finanzdienstleistern zusätzlich die Kreditprüfung und die Preisbildung in der Lebensversicherung und der Krankenversicherung. Nach einer Änderung vom Juli 2026 gelten die Pflichten dafür ab dem 2. Dezember 2027.
- 03
Briefing · Finanzdienstleistung
Fast ein Drittel weniger Kreditinstitute in zehn Jahren
Ende 2024 zählte die Bundesbank 1.368 Kreditinstitute in Deutschland, zehn Jahre zuvor waren es 1.990. Am stärksten schrumpfte der genossenschaftliche Sektor. Für regionale Banken wird die Effizienz der eigenen Abläufe damit zur zentralen Größe, ob sie fusionieren oder eigenständig bleiben.
