Cyber Resilience Act: Meldepflicht für Hersteller startet

Ab dem 11. September 2026 treten für Hersteller von Produkten mit digitalen Elementen auf dem EU-Binnenmarkt die Meldepflichten des Cyber Resilience Act (CRA) in Kraft. Sie müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die ihre Produkte betreffen, melden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet hierzu Schritt-für-Schritt-Anleitungen an.

Die Meldungen erfolgen EU-weit einheitlich über die von der ENISA bereitgestellte Single Reporting Platform (CRA-SRP). Empfänger sind das zuständige koordinierende Computer Security Incident Response Team (CSIRT) des jeweiligen EU-Mitgliedstaates und die ENISA. In Deutschland ist das CERT-Bund im BSI das koordinierende CSIRT. Die Zuständigkeit des CSIRT richtet sich nach dem Mitgliedstaat, in dem die wesentlichen Entscheidungen zur Cybersicherheit der Produkte getroffen werden, oder, falls keine Hauptniederlassung in der EU besteht, nach den Kriterien des CRA Artikel 14 Absatz 7.

Die CRA-SRP ermöglicht eine zentrale, benutzerfreundliche und vertrauliche Meldung, die gleichzeitig die CSIRTs der relevanten Mitgliedstaaten erreicht. Eine vorherige Registrierung ist nicht erforderlich. Das BSI und die ENISA stellen weitere Informationen zur Nutzung der Plattform bereit.