Cyber Resilience Act umsetzen – Betroffenheit klären, Lücken schließen

Häufige Fragen zum Cyber Resilience Act

Bin ich vom Cyber Resilience Act betroffen?

Betroffen sind Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, die in der EU auf den Markt kommen – also Hardware und Software, die bestimmungsgemäß oder vorhersehbar mit einem Gerät oder Netz verbunden wird. Die Unternehmensgröße spielt keine Rolle: Auch Kleinst- und Kleinunternehmen sind erfasst. Ausgenommen sind unter anderem Produkte, für die eigene EU-Regeln gelten, etwa Medizinprodukte, Kraftfahrzeuge, zertifizierte Luftfahrtprodukte und Schiffsausrüstung. Ob ein konkretes Produkt darunterfällt und in welche Kategorie, ist eine Einzelfallprüfung.

Was muss ich seit September 2026 melden und wo?

Seit 11.09.2026 müssen Hersteller nach Art. 14 der Verordnung aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle melden, die die Sicherheit des Produkts beeinträchtigen. Vorgesehen sind eine Frühwarnung binnen 24 Stunden nach Kenntnis, eine Meldung binnen 72 Stunden und ein Abschlussbericht – bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur verfügbar ist, bei Vorfällen binnen eines Monats nach der 72-Stunden-Meldung. Gemeldet wird über die einheitliche Meldeplattform (Single Reporting Platform) der ENISA; die Meldung geht zugleich an das als Koordinator benannte CSIRT des Mitgliedstaats der Hauptniederlassung und an die ENISA. Für Österreich führt die ENISA CERT.at als Koordinator. Die Meldepflicht gilt auch für Produkte, die bereits vor dem 11.12.2027 in Verkehr gebracht wurden.

Was gilt ab Dezember 2027?

Ab 11.12.2027 gelten alle übrigen Pflichten der Verordnung. Hersteller müssen dann unter anderem die grundlegenden Cybersicherheitsanforderungen aus Anhang I erfüllen, eine Risikobewertung und technische Dokumentation führen, Schwachstellen während des Unterstützungszeitraums behandeln, eine Konformitätsbewertung durchführen und die CE-Kennzeichnung anbringen. Importeure und Händler dürfen nur Produkte bereitstellen, die diese Anforderungen erfüllen, und haben eigene Prüfpflichten.

Wie verhält sich der Cyber Resilience Act zum NISG 2026?

Der Cyber Resilience Act regelt Produkte: Er stellt Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen über ihren Lebenszyklus. Das NISG 2026 regelt Einrichtungen: Es verpflichtet mittlere und große Unternehmen in kritischen Sektoren zu Risikomanagement, Registrierung und Vorfallmeldung im eigenen Betrieb. Ein Hersteller kann unter beide Regelwerke fallen – mit seinen Produkten unter den CRA, als Unternehmen unter das NISG 2026. Die Meldewege sind getrennt.

Was kostet der Einstieg und wie läuft der Ersttermin ab?

Der Ersttermin ist kostenfrei und unverbindlich und dauert 30 Minuten – vor Ort oder remote. Wir besprechen Ihre Produkte, Ihre Rolle als Hersteller, Importeur oder Händler und den Stand Ihrer Vorbereitung. Danach wissen Sie, ob eine genauere Betroffenheitsprüfung oder Lückenanalyse sinnvoll ist. Den Aufwand dafür nennen wir Ihnen in einem Angebot, bevor Kosten entstehen.