Ab dem 11. September 2026 müssen Hersteller, die Produkte mit digitalen Elementen in der EU vertreiben, neue Meldepflichten und Sicherheitsstandards beachten. Besonders KMU sind gefordert, ihre Prozesse, Dokumentation und technischen Maßnahmen an die Anforderungen des Cyber Resilience Act (CRA) anzupassen.
Mit dem Inkrafttreten des Cyber Resilience Act (CRA) am 11. September 2026 stehen Hersteller digitaler Produkte vor einer grundlegenden Veränderung: Sie müssen ab sofort neue Meldepflichten und umfassende Cybersecurity-Maßnahmen erfüllen. Besonders betroffen sind kleine und mittlere Unternehmen in der Steiermark, die nun gesetzlich verpflichtet werden, technische und organisatorische Abläufe anzupassen. Der Jurist und TÜV-zertifizierte Datenschutzbeauftragte Mag. Richard Gschank, Geschäftsführer der tablegray services gmbh, erläutert, worauf es jetzt für Hersteller ankommt und welche Fallstricke es zu vermeiden gilt.
- Der Stichtag 11. September 2026 markiert den Beginn strenger Meldepflichten für Cybervorfälle bei Herstellern digitaler Produkte.
- Alle Hersteller müssen technischen Schutz, Schwachstellenmanagement und umfassende Dokumentation gewährleisten.
- Für viele kleine und mittlere Unternehmen bringen die Vorschriften neue organisatorische und finanzielle Herausforderungen.
- Gründliche Vorbereitung und professionelle Beratung sind entscheidend, um teuer werdende Fehler oder Sanktionen zu vermeiden.
Was ist der Cyber Resilience Act und wen betrifft er?
Der Cyber Resilience Act der Europäischen Union ist eine neue Verordnung, die alle Unternehmen adressiert, die Produkte mit digitalen Elementen auf dem europäischen Markt vertreiben oder bereitstellen. Explizit gemeint sind laut Verordnung sowohl Hardware wie vernetzte Geräte (z. B. IoT, Router, Sensoren) als auch Softwareprodukte, einschließlich „Embedded Software“ und Firmware. Ausgenommen sind lediglich solche Produkte, für die bereits eigenständige EU-Gesetzgebungen wie die Medizinprodukteverordnung oder das NIS-2-Gesetz greifen.
Die Pflicht zur Einhaltung dieser Anforderungen besteht unabhängig davon, ob das Unternehmen groß oder klein ist. "Die Compliance im Bereich Datenschutz ist gesetzlich vorgeschrieben. Die muss man haben. Aber sie ist nicht nur Pflicht, sondern bietet viele weitere Vorteile," betont Richard Gschank von der tablegray services gmbh.
Was ändert sich ab dem 11. September 2026?
Ab dem 11. September 2026 treten insbesondere die Meldepflichten ins Zentrum: Hersteller müssen innerhalb von 24 Stunden nach einer Frühwarnung jede aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall melden und innerhalb von weiteren 72 Stunden eine detaillierte Nachmeldung verfassen. Das betrifft nicht nur neue Produkte, sondern auch sämtliche zuvor ausgelieferten Geräte und Software, die weiterhin von Schwachstellen betroffen sein könnten. Die Meldungen sind verpflichtend über die zentrale CRA-Meldepflichten für Hersteller Single Reporting Platform an die zuständigen Behörden zu übermitteln. "Dabei muss jedem klar sein, dass die Technik um ein Vielfaches schneller ist als das Recht", so Gschank.
Welche Schwachstellen und Vorfälle müssen gemeldet werden?
Gemeldet werden müssen insbesondere Schwachstellen, die aktiv von Angreifenden ausgenutzt werden, sowie schwerwiegende Sicherheitsvorfälle, die die Sicherheit, Vertraulichkeit oder Funktion eines Produkts beeinträchtigen könnten. Viele Hersteller fragen sich, welche Vorfälle tatsächlich relevant sind. Nach der Definition des CRA gilt als meldepflichtig jede Schwachstelle, durch die Angreifende in der Praxis Kontrolle über ein Produkt oder dessen Daten übernehmen oder für Betriebsunterbrechungen sorgen können. „Sie gibt Kunden Sicherheit und Vertrauen in digitale Leistungen, zeigt Optimierungspotenzial bei Prozessen auf, gibt Lieferanten klare Vorgaben im Umgang mit übermittelten Daten und reduziert Risiken – Datenverlust, Hackerangriffe, etc. – im Unternehmen“, erläutert Richard Gschank.
Welche Fristen und Meldewege gelten?
Der Meldebogen sieht mehrere Fristen vor: Innerhalb von 24 Stunden muss eine Frühwarnung über die Single Reporting Platform übermittelt werden, die erste Einschätzungen zum Vorfall enthält. Innerhalb weiterer 72 Stunden sind die technischen Details und erste Maßnahmen nachzureichen. Ein Abschlussbericht wird fällig, sobald Abhilfemaßnahmen vorliegen, spätestens jedoch 14 Tage nach deren Umsetzung oder innerhalb eines Monats. Die zentrale Plattform wird derzeit von ENISA koordiniert, während CSIRTs (Computer Security Incident Response Teams) auf nationaler Ebene eingebunden werden. Einzelheiten zu Abläufen und Verantwortlichkeiten sollten Unternehmen spätestens jetzt mit Unterstützung versierter Berater wie tablegray klären. "Als externer Berater kann man anders agieren, weil der Blickwinkel ein anderer ist", unterstreicht Gschank.
Was sollten Hersteller jetzt organisatorisch und technisch vorbereiten?
Hersteller sind verpflichtet, vor dem Inverkehrbringen eines Produkts eine Risikoanalyse durchzuführen und technische Schutzmaßnahmen gegen Cyberangriffe zu implementieren. Dazu gehört ein dokumentiertes Schwachstellenmanagement über den gesamten Lebenszyklus eines Produkts hinweg. Das umfasst Prozesse zur kontinuierlichen Überwachung, regelmäßigen Updates und klar geregelte Zuständigkeiten für die Incident Response. Ohne dokumentierte Abläufe und Nachweise über getroffene Maßnahmen riskieren Hersteller rigide Sanktionen und Vertriebsverbote. Richard Gschank mahnt: "Denn wird der Datenschutz vernachlässigt, hat dies nicht nur rechtliche Konsequenzen. Es geht auch Vertrauen verloren und zieht langfristige Auswirkungen auf die Geschäftstätigkeiten nach sich." Unternehmen müssen außerdem organisatorisch sicherstellen, dass Meldungen korrekt und termingerecht erfolgen – am besten durch klare Verantwortlichkeiten und Schulungen im Team.
Typische Probleme: Wo Unternehmen oft scheitern
Viele Unternehmen stehen der Herausforderung gegenüber, dass ihnen Fachkräfte und Kenntnisse für die Umsetzung der Schutzmaßnahmen fehlen. Häufig existieren weder ein definiertes Schwachstellenmanagement noch Prozesse, die eine kontinuierliche Überwachung oder schnelle Reaktion auf Angriffe möglich machen. Auch bei der Integration der neuen und alten Produkte in eine gemeinsame Sicherheitsstrategie herrscht vielfach Unsicherheit, insbesondere bei bereits ausgelieferten Geräten oder Softwareupdates.
Welche weiteren CRA-Pflichten gelten ab Dezember 2027?
Neben der Meldepflicht ab September 2026 treten weitere zentrale CRA-Pflichten ab Dezember 2027 in Kraft. Dazu zählen insbesondere die Pflicht zur Konformitätsbewertung und die Einführung eines CE-Kennzeichens, das die Cybersecurity-Konformität eines Produkts bestätigt. Ohne diese Kennzeichnung dürfen relevante Produkte im EU-Raum dann nicht mehr in den Verkehr gebracht werden. Hersteller müssen deshalb bereits jetzt Dokumentationspflichten ausweiten, ihre gesamten Produktentwicklungs-, Herstellungs- und Supportprozesse anpassen und die End-to-End-Cybersicherheit im Blick behalten. Die Anforderungen gelten für die gesamte Lebensdauer eines Produkts, also auch für bereits ausgelieferte Geräte, sofern sie noch unterstützt werden[4].
Aktuelle Entwicklungen rund um den Cyber Resilience Act
Nachdem das EU-Parlament im März 2024 die Verordnung verabschiedet hat, sind Unternehmen und Hersteller nun gezwungen, die Maßnahmen fristgerecht umzusetzen[4]. Viele Betriebe starten jetzt mit Bestandsaufnahmen, Defizitanalysen und der Einführung neuer Abläufe und Tools zur Meldung und Absicherung ihrer digitalen Produkte. Fachportale beobachten, dass gerade kleine Unternehmen dabei vielfach auf externe Beratung angewiesen sind[4]. Richard Gschank ordnet ein: "Unser Trumpf war immer, dass wir beide Sprachen, also Technik und Recht, sprechen." Gschank empfiehlt Unternehmen in jedem Fall, ihre gesamten Dokumentations- und Incident-Response-Prozesse genau zu überprüfen und bei Bedarf an die neuen Anforderungen anzupassen.
Was bedeutet der CRA konkret für steirische Betriebe und Geschäftsmodelle?
Gerade KMU im Raum Steiermark und im DACH-Raum stehen vor der Aufgabe, häufig erstmals eine strukturierte Cybersicherheitsstrategie zu entwickeln und zu leben. Das betrifft nicht nur Technik, sondern auch die Organisation: Zuständigkeiten, Prozesse, Schnittstellen mit Zulieferern und Kunden sind auf den Prüfstand zu stellen. "Unsere Kunden werden von deren Abnehmern, z. B. Banken, Versicherer, Spediteure etc., dahingehend ausgewählt, weil sie ihren Datenschutz nachweislich gut im Griff haben und Professionalität zeigen," erläutert Gschank. Für steirische Unternehmen kann professionelles Melde- und Schwachstellenmanagement damit durchaus zu einem Wettbewerbsvorteil werden. CRA-Meldepflichten für Hersteller betreffen grundsätzlich alle Hersteller und Anbieter digitaler Produkte im EU-Raum – auch solche, die bislang kaum mit IT-Sicherheits- oder Datenschutzthemen in Berührung kamen.
Externe Beratung wie etwa durch die tablegray services gmbh kann dazu beitragen, technisches und rechtliches Wissen sinnvoll zu verbinden und Unternehmen strukturiert bei der Umsetzung regulatorischer Anforderungen zu begleiten. "Wir wollen dabei funktionierende Geschäftsprozesse unterstützen, auf sichere Beine stellen und nicht verhindern", fasst Richard Gschank zusammen.
Quellen
[4] Cyber Resilience Act: Neue EU-Regeln für digitale Produkte (Handelsblatt, 2024-03-12)
Kurzvorstellung des Experten: Mag. iur. Richard Gschank, BA ist Geschäftsführer der tablegray services gmbh, berät Unternehmen als externer Datenschutzbeauftragter in der Steiermark und hält Vorträge zu Datenschutz und KI.
