Cyber Resilience Act: So erfüllen kleine Hersteller die Meldepflicht

Seit dem 11. September 2026 gilt Artikel 14 des Cyber Resilience Act (CRA), der Verordnung (EU) 2024/2847. Wer Software, Apps, Firmware oder vernetzte Geräte unter eigenem Namen in der EU anbietet, muss aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die erste Warnung binnen 24 Stunden. Die Pflicht kennt keine Größenausnahme und gilt auch für Produkte, die längst beim Kunden laufen.

Wer Software nur nutzt, ist nicht betroffen; kleine Softwarehäuser, Maschinenbauer mit eigener Steuerungssoftware und Händler mit Eigenmarke dagegen schon.

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Ob Ihr Produkt unter den CRA fällt, sollten Sie im Zweifel rechtlich prüfen lassen. Stand: 13. Oktober 2026.

Bin ich Hersteller im Sinne des CRA?

Hersteller ist nach Art. 3 Nr. 13, wer Produkte mit digitalen Elementen entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet, „sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“. Drei Fragen klären das:

1. Bieten Sie ein Software- oder Hardwareprodukt an, das sich mit einem Gerät oder Netz verbindet?
2. Geschieht das im Rahmen Ihrer Geschäftstätigkeit? Kostenlose Produkte zählen mit.
3. Steht Ihr Name oder Ihre Marke darauf? Auch Einführer und Händler gelten als Hersteller, wenn sie ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen oder wesentlich verändern (Art. 21).

Typische Fälle sind der Sondermaschinenbauer aus dem Kreis Recklinghausen mit eigener Steuerungs- und Fernwartungssoftware, die Agentur mit eigener App im App-Store und der Online-Händler, der zugekaufte smarte Steckdosen unter seiner Eigenmarke verkauft.

Wer nicht melden muss

Neben reinen Anwendern bleiben außen vor:

• reine Webanwendungen: Was Nutzer nur im Browser aufrufen, ist nach den im Juli 2026 veröffentlichten, noch nicht förmlich angenommenen Leitlinien der EU-Kommission kein Produkt mit digitalen Elementen,
• Software für den Eigengebrauch, weil sie laut FAQ der Kommission nicht in Verkehr gebracht wird,
• nicht kommerzielle Open-Source-Software,
• Bereiche mit eigenem Recht wie Medizinprodukte, Fahrzeuge, zivile Luftfahrt und Schiffsausrüstung.

Die Webanwendungs-Ausnahme ist schmaler, als viele hoffen: Gehört zu Ihrer Webanwendung eine installierbare App, eine Browser-Erweiterung, ein Agent auf Kundenrechnern oder Firmware, haben Sie ein Produkt, und das Backend, ohne das dieses Produkt eine seiner Funktionen nicht erfüllen kann, zählt als „Datenfernverarbeitung“ mit.

Welche Fristen laufen ab Kenntnis einer Lücke?

Die Stundenfristen sind Obergrenzen; melden müssen Sie unverzüglich. Gemeldet wird gleichzeitig an das koordinierende CSIRT, in Deutschland das CERT-Bund im BSI, und an die EU-Agentur ENISA, über deren einheitliche Meldeplattform. Zusätzlich informieren Sie die betroffenen Nutzer, falls nötig mit Hinweisen, was sie selbst tun können (Art. 14 Abs. 8).

„Schwerwiegend“ ist ein Vorfall, der die Sicherheit des Produkts trifft und sensible oder wichtige Daten oder Funktionen gefährden oder Schadcode einschleusen kann (Art. 14 Abs. 5), etwa ein manipulierter Update-Server; ein Ransomware-Vorfall beim Hersteller ist das laut BSI nicht automatisch.

Rechenbeispiel: Kenntnis am Freitag um 16 Uhr

Angenommen, der Maschinenbauer erfährt am Freitag, 16. Oktober 2026, von einem Kunden, dass Angreifer eine Lücke in seiner Fernwartung ausnutzen, und um 16 Uhr bestätigt eine erste Prüfung das. Damit hat er nach dem Leitlinienentwurf der Kommission Kenntnis erlangt: Er weiß mit hinreichender Sicherheit, dass die Lücke aktiv ausgenutzt wird. Konservativ ab 16 Uhr gerechnet:

• Frühwarnung: bis Samstag, 17. Oktober, 16 Uhr
• Meldung: bis Montag, 19. Oktober, 16 Uhr
• Abschlussbericht: bei einem Update am Donnerstag, 22. Oktober, bis Donnerstag, 5. November

Die Fristen zählen in Stunden, nicht in Werktagen. Wer nach der Prüfung ins Wochenende geht, hat am Montag die erste Frist verpasst. Dabei ist die Frühwarnung der kleinste Teil: Laut BSI gehören vor allem Meldungskategorie, Hersteller, betroffenes Produkt und ein aussagekräftiger Titel hinein, der Rest wird schrittweise ergänzt. Mein Rat: Halten Sie diese Angaben samt Länderliste fertig vor, dann ist die Frühwarnung auch am Samstag in Minuten erledigt.

Was kleinen Unternehmen bei Verstößen droht

Verstöße gegen Art. 14 können bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes kosten, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2). Bei 5 Mio. Euro Umsatz wären 2,5 % nur 125.000 Euro; weil der höhere Betrag zählt, reicht der Rahmen trotzdem bis 15 Mio. Euro. Bei der Festsetzung ist allerdings die Unternehmensgröße zu berücksichtigen (Art. 64 Abs. 5). Zwei Punkte relativieren das:

• Keine Geldbuße für die verpasste Frühwarnung: Kleinst- und Kleinunternehmen, nach EU-Definition unter 10 bzw. unter 50 Beschäftigte und höchstens 2 bzw. 10 Mio. Euro Jahresumsatz oder Jahresbilanzsumme, bekommen für die versäumte 24-Stunden-Frist keine Geldbuße (Art. 64 Abs. 10 in der 2025 berichtigten Fassung). Für die 72-Stunden-Meldung und den Abschlussbericht gilt das nicht.
• Bußgelder erst ab Dezember 2027: Die Sanktionsregeln gehören nicht zu den vorgezogenen Teilen (Art. 71 Abs. 2); laut FAQ der Kommission gelten Marktüberwachung und Durchsetzung ab dem 11. Dezember 2027.

Ein Freibrief ist beides nicht: Melden müssen Sie schon heute.

Fünf Bausteine für den Meldeweg im kleinen Betrieb

1. Produkt- und Länderliste: Welche Produkte und Versionen, auch ältere, sind in welchen EU-Staaten auf dem Markt, und wie erreichen Sie die Nutzer?
2. Kontaktadresse: Hinweise können laut BSI etwa von Kunden oder IT-Sicherheitsdienstleistern kommen; machen Sie es ihnen leicht mit einer security.txt nach RFC 9116 unter /.well-known/security.txt; Pflichtfelder sind Contact und Expires. Der CRA nennt die Datei nicht, verlangt aber ab Dezember 2027 eine Kontaktadresse für Schwachstellenmeldungen; ich empfehle die Datei schon jetzt, Beispiel: https://yurtbay.dev/.well-known/security.txt.
3. Quellen beobachten: Gleichen Sie Ihre Komponenten regelmäßig mit dem KEV-Katalog der US-Behörde CISA ab, der in freier Wildbahn ausgenutzte Lücken sammelt; ein Treffer ist der Anlass für die erste Prüfung.
4. Meldung vorbereiten: Legen Sie jetzt ein EU-Login-Konto mit Zwei-Faktor-Anmeldung an; damit dauert die Registrierung auf der Plattform laut ENISA nur wenige Minuten. Gemeldet wird auf Englisch; eine Vorlage spart Zeit. Fällt die Plattform aus, geht die Meldung ausnahmsweise per E-Mail an CERT-Bund, siehe die Hinweise des BSI zur Meldeplattform.
5. Vertretung regeln: Das BSI empfiehlt eine verlässliche Vertretung durch mindestens zwei Personen. Im Ein-Personen-Betrieb muss sie von außen kommen; die Plattform erlaubt je Hersteller bis zu 20 weitere Vertreter mit eigenem Zugang.

CRA und NIS2: zwei Gesetze, zwei Meldewege

NIS2 setzt beim Unternehmen an, der CRA beim Produkt. Wer die NIS2-Registrierung im BSI-Portal erledigt hat, hat für den CRA noch nichts getan, denn CRA-Meldungen laufen derzeit ausschließlich über die EU-Plattform. Fällt ein Vorfall unter beide Regelwerke, ist er laut BSI doppelt zu melden: nach NIS2 über das BSI-Portal, nach dem CRA über die Plattform. Ob NIS2 Sie betrifft und wie die Registrierung abläuft, klärt mein NIS2-Überblick für kleine und mittlere Betriebe.

Was ab Dezember 2027 dazukommt

Ab dem 11. Dezember 2027 gilt der Rest der Verordnung, darunter Sicherheitsanforderungen an das Produkt, CE-Kennzeichnung, eine Software-Stückliste (SBOM) und ein Unterstützungszeitraum von mindestens fünf Jahren, sofern das Produkt nicht absehbar kürzer genutzt wird (Art. 13 Abs. 8). Altprodukte trifft das nur bei einer wesentlichen Änderung; ein Sicherheitsupdate, das die Zweckbestimmung nicht ändert, zählt nicht dazu (Erwägungsgrund 39). Wer ein Produkt für 2028 plant, sollte mindestens fünf Jahre Updates von Anfang an in die Kosten des Softwareprojekts einrechnen.

Drei Fragen zur CRA-Meldepflicht

Muss ich für Software melden, die ich vor dem 11. September 2026 verkauft habe?
Ja. Die Pflicht gilt für alle Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3), laut Leitlinienentwurf der Kommission auch nach Supportende. Rückwirkend melden müssen Sie aber keine Ausnutzung, von der Sie schon vor dem 11. September 2026 wussten.

Reicht ein veröffentlichter Exploit für eine Meldung?
Nein. „Aktiv ausgenutzt“ ist eine Lücke erst, wenn verlässliche Nachweise vorliegen, dass ein Angreifer sie ohne Erlaubnis in einem System ausgenutzt hat (Art. 3 Nr. 42). Ein veröffentlichter Exploit, Proof-of-Concept-Code oder Portscans reichen laut BSI nicht.

Gilt das für Software, die ich für einen einzigen Kunden entwickle?
Ja, denn nach Auffassung des BSI fällt auch Individualsoftware unter den CRA, unabhängig von der Stückzahl. Ob Sie oder Ihr Kunde Hersteller sind, hängt davon ab, unter wessen Namen die Software vermarktet wird, und reine Webanwendungen fallen heraus. Diese Abgrenzung lohnt eine rechtliche Prüfung.

Sie bieten Software oder Geräte unter eigenem Namen an und wollen Ihren Meldeweg aufsetzen? Dann sprechen wir darüber im kostenlosen Erstgespräch. Für Software, die ich entwickle, gibt es auf Wunsch Updates und Betreuung nach dem Go-live: Individualsoftware mit .NET.

Passende Leistung: Individualsoftware mit .NET

Hinweis: Die Beiträge dieses Blogs werden unter Einsatz von KI erstellt und vor der Veröffentlichung redaktionell geprüft. Die redaktionelle Verantwortung trägt Emre Yurtbay (siehe Impressum).