Cyber Resilience Act: Ab 11. September melden Hersteller aktiv ausgenutzte Lücken

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung für Produkte mit digitalen Elementen, also Hard- und Software. Die meisten Pflichten gelten ab dem 11. Dezember 2027. Ein Teil greift früher: Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden.

Was Hersteller melden müssen

Gemeldet wird über eine zentrale Plattform der ENISA, von dort geht die Meldung an die zuständigen nationalen Stellen. Die Fristen sind gestaffelt:

• eine Frühwarnung spätestens 24 Stunden, nachdem der Hersteller davon erfahren hat,
• eine Meldung mit Angaben zu betroffenen Produkten und Gegenmaßnahmen spätestens nach 72 Stunden,
• ein Abschlussbericht: bei Schwachstellen spätestens 14 Tage, nachdem eine Abhilfe verfügbar ist, bei Vorfällen innerhalb eines Monats.

Auch die Nutzer der Produkte sind zu informieren.

Was das für IT-Teams bedeutet

Für Betreiber heißt das vor allem: Es kommen mehr und frühere Herstellermeldungen. Das ist gut, nützt aber nur, wenn man schnell sagen kann, ob eine Meldung den eigenen Bestand betrifft. Dafür braucht es ein aktuelles Inventar und den Patchstand jedes Systems.

PRAEMON gleicht offizielle Herstellermeldungen mit Build- und Paketstand Ihrer Server ab und ordnet aktiv ausgenutzte Lücken nach vorn. Je schneller die Meldungen kommen, desto mehr zählt dieser Abgleich.

Dieser Beitrag ist keine Rechtsberatung. Ob ein Produkt unter den CRA fällt, klären Hersteller bitte im Einzelfall.