Cyber Resilience Act: Meldepflicht gilt jetzt

Seit dem 11. September 2026 gelten die ersten Pflichten des Cyber Resilience Act (CRA). Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Die erste Warnung muss binnen 24 Stunden raus.

Das klingt nach Konzernthema, trifft aber auch Betriebe, die Software ausliefern oder entwickeln lassen.

Dieser Beitrag klärt, wen der CRA betrifft und was ihr von Softwarepartnern verlangen könnt.

Was verlangt der CRA?

Der CRA macht IT-Sicherheit zur Produktpflicht für alles, was Software enthält und mit anderen Geräten oder Netzen verbunden ist. Gemeldet wird über eine zentrale Plattform der EU. Ab Dezember 2027 kommen Sicherheit in der Entwicklung, Dokumentation, CE-Kennzeichnung und Sicherheitsupdates über einen angemessenen Zeitraum dazu.

Kurz: Wer Software mit Netzanbindung ausliefert, muss Lücken melden und beheben.

Betrifft das auch euch?

Ja, wenn ihr eigene Produkte mit Software ausliefert, etwa als Teil einer Maschine oder eines Geräts. Nein, wenn ihr nur Software einkauft oder intern nutzt. Die Einordnung im Einzelfall ist nicht einfach, prüft sie früh.

Was könnt ihr von Softwarepartnern verlangen?

• Wer meldet und behebt Sicherheitslücken, und in welcher Frist?
• Welche Fremdbibliotheken stecken in der Software, und wie werden sie aktuell gehalten?
• Wie lange liefert der Anbieter Sicherheitsupdates, und steht das im Vertrag?

Software nach Maß mit Wartung von Anfang an? Individualsoftware besprechen

Fazit

Wartung und Sicherheitsupdates gehören bei Individualsoftware von Beginn an in die Vereinbarung, nicht erst in die Zeit nach der Abnahme.

Passend dazu: PHP-Lücke PHP2Shell: Ist eure Website betroffen? und KI-Agenten: So funktioniert Prompt Injection.

FAQ

Gilt der CRA für SaaS?

Reine Online-Dienste fallen grundsätzlich nicht darunter, solange sie nicht Teil eines Produkts sind.

Was ist eine SBOM?

Eine Software-Stückliste, die zeigt, welche Komponenten in einem Produkt stecken. Der CRA verlangt sie ab Dezember 2027.