Ab heute gilt eine neue EU-Meldepflicht: Betrifft sie auch Ihr Unternehmen?

Wer "EU Cyber Resilience Act" hört, denkt an Schwerindustrie, Fabriken und Maschinenrichtlinien, die mit einem zwanzigköpfigen Dienstleistungsunternehmen nichts zu tun haben. Diese Annahme ist oft genug falsch, um wichtig zu sein. Das Gesetz handelt nicht von Fabriken. Es geht um alles mit "digitalen Elementen", und darunter fällt eine erstaunlich breite Palette gewöhnlicher Software: Business-Apps, Browser-Plugins, Firmware für einen vernetzten Sensor und das Backend eines SaaS-Produkts, das ein kleines Unternehmen selbst gebaut hat und heute an eigene Kunden verkauft.

Ein neuer Teil dieses Gesetzes trat heute in Kraft, und anders als die meisten EU-Fristen kam er ohne lange Schonfrist. Wenn Ihr Unternehmen ein digitales Produkt selbst herstellt oder weiterverkauft, statt es nur zu nutzen, lohnen sich zehn Minuten diese Woche, nicht erst im nächsten Quartal.

Kurz beantwortet

Was hat am 11. September 2026 genau begonnen? Die Meldepflicht aus Artikel 14 des Cyber Resilience Act: Hersteller müssen eine aktiv ausgenutzte Sicherheitslücke oder einen schwerwiegenden Sicherheitsvorfall jetzt innerhalb fester Fristen an ENISA und die zuständige nationale CSIRT melden, über die neu gestartete Single Reporting Platform.

Betrifft mich das, wenn ich nur Microsoft 365 und eine normale Website nutze? Nein. Die Pflicht liegt bei dem Unternehmen, das ein digitales Produkt herstellt und auf dem EU-Markt bereitstellt, dem sogenannten Hersteller. Ein Unternehmen, das Software nur intern nutzt, ist rechtlich Nutzer, nicht Hersteller.

Betrifft es mich, wenn mein Unternehmen eine App oder ein vernetztes Produkt baut oder verkauft? Sehr wahrscheinlich ja, sobald es kommerziell in der EU angeboten wird, unabhängig von der Unternehmensgröße. Die Größe beeinflusst die verfügbare Unterstützung, nicht die Frage, ob die Pflicht gilt.

Ist das dasselbe wie NIS2? Nein. NIS2 betrifft Organisationen, die bestimmte Arten von Diensten betreiben, und kann kleine Zulieferer indirekt über Kundenanforderungen erreichen. Der Cyber Resilience Act betrifft das Produkt selbst, egal wo es hergestellt und verkauft wird.

Was sich heute konkret geändert hat

Der Cyber Resilience Act trat im Dezember 2024 in Kraft, doch die meisten Pflichten hatten eine lange Vorlaufzeit. Heute ist die erste Frist mit echten Konsequenzen. Ab sofort muss ein Hersteller eines Produkts mit digitalen Elementen, das auf dem EU-Markt bereitgestellt wird, an ENISA, die EU-Cybersicherheitsagentur, und die zuständige nationale CSIRT (in Deutschland das BSI) melden, sobald eine Sicherheitslücke in diesem Produkt aktiv ausgenutzt wird oder ein schwerwiegender Vorfall es betrifft.

Die Meldung selbst folgt einem gestuften Zeitplan: eine Frühwarnung innerhalb von 24 Stunden, nachdem das Problem bekannt wurde, eine ausführlichere technische Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen bei einer Sicherheitslücke oder einem Monat bei einem Vorfall. Die Single Reporting Platform von ENISA ging am selben Tag online, an dem die Pflicht verbindlich wurde, sodass es kein Zeitfenster gab, in dem die Pflicht bestand, ohne dass es einen Weg gab, sie zu erfüllen.

Wer gilt hier eigentlich als Hersteller?

Das ist der Teil, der zehn sorgfältige Minuten wert ist, denn die Antwort entscheidet alles Weitere. Hersteller im Sinne des Cyber Resilience Act ist, wer ein Produkt mit digitalen Elementen entwickelt und unter eigenem Namen auf dem EU-Markt bereitstellt, unabhängig davon, ob jede Zeile Code selbst geschrieben wurde. Das umfasst eigenständige Software, die als Produkt verkauft wird, eine mobile oder Web-App, für die Kunden zahlen, Firmware in einem vernetzten Gerät, und Softwarekomponenten, die in ein weiterverkauftes Produkt eingebaut werden.

Es macht ein Unternehmen nicht automatisch zum Hersteller, wenn es Software von jemand anderem kauft und nur intern nutzt, und es macht ein Unternehmen mit eigener Website nicht schon deshalb zum Hersteller, weil die Seite ein Kontaktformular oder einen Login hat. Der entscheidende Unterschied ist, ob man ein digitales Produkt baut und in Verkehr bringt, oder ob man eines nutzt. Die meisten Dienstleistungsunternehmen, Agenturen und lokalen Betriebe stehen klar auf der Nutzerseite.

Wo ein kleines Unternehmen tatsächlich betroffen sein kann

Die Unternehmen, die jetzt genauer hinsehen müssen, sind eine kleinere, klar umrissene Gruppe. Wenn Ihr Unternehmen ein Softwareprodukt gebaut hat und verkauft, und sei es noch so klein, etwa ein Buchungs-Widget, eine branchenspezifische App oder ein Plugin für eine größere Plattform, sind Sie für dieses Produkt sehr wahrscheinlich Hersteller. Dasselbe gilt, wenn Sie ein vernetztes physisches Gerät verkaufen, einen smarten Sensor, ein Kassensystem mit eigener Firmware, oder irgendetwas, das mit dem Internet kommuniziert und unter Ihrer Marke ausgeliefert wird.

Trifft das auf einen Teil Ihres Geschäfts zu, ist der praktische erste Schritt nicht die 24-Stunden-Uhr selbst, sondern die Gewohnheit, überhaupt schnell genug von einer Sicherheitslücke zu erfahren, damit 24 Stunden realistisch sind. Das braucht einen echten Prozess für Schwachstellenmanagement und Vorfallreaktion, keinen Ordner, den niemand kontrolliert. Eine Cloud-Sicherheitsprüfung, die Schwachstellenmanagement einschließt, ist der praktische Weg, diesen Prozess aufzubauen, bevor eine Meldung überhaupt fällig wird.

Was, wenn mein Unternehmen nicht betroffen ist? Kann ich das ignorieren?

Größtenteils ja, vorerst. Wer Software und Cloud-Dienste nur nutzt, trägt nicht die Meldepflicht, das liegt bei dem Unternehmen, das sie gebaut hat. Trotzdem lohnen sich drei Dinge. Erstens: Als Kunde eines betroffenen Herstellers wirkt sich dessen Sorgfalt direkt darauf aus, wie schnell Sie von einer Lücke in einem Werkzeug erfahren, auf das Sie angewiesen sind, es lohnt sich also, das bei Lieferanten aktiv zu prüfen statt anzunehmen. Zweitens fragen Beschaffungsfragebögen größerer EU-Kunden zunehmend nach der Bereitschaft für den Cyber Resilience Act, genau wie sie das bei der DSGVO schon tun, sodass "nicht anwendbar" eine begründete Antwort sein sollte, keine Vermutung. Drittens tendiert der Umfang dessen, was als digitales Produkt zählt, dazu, sich mit klarerer Auslegung zu erweitern, es lohnt sich also, den eigenen Status vor Dezember 2027 noch einmal zu prüfen.

Muss mich Dezember 2027 schon jetzt beschäftigen?

Nicht dringend, aber es verändert den Umfang der Aufgabe deutlich. Die heute gestartete Meldepflicht ist eng gefasst: Behörden schnell informieren, wenn etwas schiefgeht. Ab dem 11. Dezember 2027 greift der Cyber Resilience Act in voller Breite, mit grundlegenden Sicherheitsanforderungen, die im Produkt selbst stecken müssen, technischer Dokumentation, einer formalen Konformitätsbewertung und einer CE-Kennzeichnung, die ab diesem Datum erstmals auch Cybersicherheit umfasst. Das ist ein Produktentwicklungs- und Compliance-Projekt, keine Meldegewohnheit, und braucht einen deutlich längeren Vorlauf als die 24-Stunden-Uhr.

Das BSI hat Umsetzungshinweise für Hersteller veröffentlicht, die auf die Frist 2027 hinarbeiten, und das Gesetz sieht eigene Unterstützungsmaßnahmen für kleine und Kleinstunternehmen vor, Leitfäden, Helpdesks und vereinfachte Dokumentation, gerade weil die Gesetzgeber davon ausgingen, dass kleinere Hersteller Hilfe brauchen werden.

Meldepflicht gegen volle Compliance im Überblick

Was passiert, wenn ein betroffenes Unternehmen das ignoriert?

Die Strafen sind nicht symbolisch. Nach Artikel 64 des Gesetzes können Verstöße gegen die grundlegenden Sicherheitsanforderungen oder die Kernpflichten der Hersteller Bußgelder von bis zu fünfzehn Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, was höher ist. Andere Verstöße liegen niedriger, und falsche oder irreführende Angaben gegenüber den Behörden haben eine eigene Strafkategorie. Für einen kleinen Hersteller ist das praktische Risiko vor Dezember 2027 weniger die Geldstrafe selbst als der verlorene Auftrag, weil eine Frage zum Cyber Resilience Act im Beschaffungsprozess eines Kunden nicht beantwortet werden konnte. Eine kurze IT-Governance- und Compliance-Prüfung, die zeigt, wo Ihre Produkte tatsächlich stehen, schließt diese Lücke, bevor sie in einem verlorenen Geschäft sichtbar wird.

Was diese Woche konkret zu prüfen ist

Drei Dinge, und keines davon braucht schon einen Anwalt. Listen Sie alles auf, was Ihr Unternehmen verkauft oder lizenziert und Software, einen Firmware-Update-Mechanismus oder eine Internetverbindung enthält, und fragen Sie sich offen, ob Ihr Unternehmen es ist, das dieses Produkt in Verkehr bringt. Ist die Antwort bei irgendetwas ja, stellen Sie sicher, dass es einen echten Weg gibt, schnell von einer Sicherheitslücke in diesem Produkt zu erfahren, denn die 24-Stunden-Uhr beginnt erst, sobald man Kenntnis erlangt, und "wir haben es nicht mitbekommen" ist kein sicherer Ort. Ist die Antwort überall nein, halten Sie das mit der Begründung fest, denn genau diese Frage kommt noch dieses Jahr in einem Beschaffungsfragebogen eines Kunden zurück.

Das ist eine Bestandsaufnahme, kein Zertifizierungsprojekt. Sie dauert einen Nachmittag, und sie ist genau die Art von Aufgabe, die übersprungen wird, weil die Überschrift nach Hardwareherstellern klingt, nicht nach einem Dienstleistungsunternehmen mit einem kleinen Softwareprodukt nebenbei.