Auf den Punkt: Der Cyber Resilience Act verpflichtet Hersteller ab September 2026, Sicherheitsvorfälle innerhalb von 24–72 Stunden zu melden, sonst drohen Strafen bis 15 Millionen Euro.
Mit dem 11. September 2026 beginnt in der EU eine gestaffelte Meldepflicht für Sicherheitsvorfälle — drei Jahre vor der vollständigen Umsetzung des Cyber Resilience Act. CISOs müssen bis dahin Prozesse etablieren, um Verstöße gegen die strikten Fristen zu vermeiden.
Der Cyber Resilience Act (CRA) schreibt ab dem 11. September 2026 verpflichtende Meldepflichten vor, obwohl die vollständige Umsetzung erst am 11. Dezember 2027 erfolgt. Hersteller digitaler Produkte müssen dann aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zeitgebunden melden: innerhalb von 24 Stunden eine Frühwarnung an die Europäische Agentur für Cybersicherheit (ENISA) sowie das zuständige nationale Computer-Notfallteam — in Deutschland das CERT-Bund —, innerhalb von 72 Stunden ein Detailbericht und ein Abschlussbericht spätestens 14 Tage nach Implementierung einer Behebungsmaßnahme.
Verstöße gegen diese Fristen ziehen erhebliche finanzielle Strafen nach sich: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ausfällt. Damit stellt der CRA eine der straffsten Compliance-Anforderungen dar, die Unternehmen im Regulationsbereich bislang erfüllen müssen.
Nach Analysen des Sicherheitsunternehmens Cycode zeigen viele Organisationen erhebliche Vorbereitungslücken: ungeklärte Verantwortlichkeiten für die Eskalation von Meldungen, unrealistische interne Reaktionszeiten bei der Detektion komplexer Bedrohungen, fehlende Produktinventare inklusive Versionsübersicht und fragmentierte Monitoring-Infrastrukturen mit isolierten Sicherheits-Scannern. Diese Defizite verhindern aktuell, dass die geforderten Fristen eingehalten werden können.
Zur Einhaltung der Anforderungen müssen Unternehmen ganzheitliche Überwachungssysteme über den gesamten Softwareentwicklungsprozess aufbauen: kontinuierliches Monitoring von Code-Basen, externen Abhängigkeiten, CI/CD-Umgebungen und KI-Komponenten. Parallel sind strukturierte Meldeprozesse, vollständige Dokumentation sowie regelmäßige Krisenübungen unter realistischen Bedingungen zu implementieren. Die Kombination aus technischem Monitoring und klaren Eskalationspfaden ist notwendig, um die Meldefristen verlässlich einzuhalten.
Quelle: www.it-daily.net · Erschienen 19. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.