Stand: 14. Oktober 2026 — Die Verordnung (EU) 2024/2847 (Cyber Resilience Act) staffelt ihre Pflichten: Die Meldepflichten nach Artikel 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle greifen ab dem 14. Oktober 2026, die vollständige Geltung folgt ab dem 11. Dezember 2027. Gemeldet wird an die zuständige CSIRT und an ENISA, mit erster Warnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht binnen 14 Tagen. Für die betriebliche Entscheidung reicht es nicht, diese Aussage zu kennen. Zuerst muss geklärt werden, für welche Einheit und welchen Vorgang sie gilt, über welchen Mechanismus sie wirkt und welcher Nachweis eine Umsetzung rechtfertigt.
Gesicherte Fakten und Anwendungsbereich
Die Verordnung (EU) 2024/2847 (Cyber Resilience Act) staffelt ihre Pflichten: Die Meldepflichten nach Artikel 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle greifen ab dem 14. Oktober 2026, die vollständige Geltung folgt ab dem 11. Dezember 2027. Gemeldet wird an die zuständige CSIRT und an ENISA, mit erster Warnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht binnen 14 Tagen.
Betroffen sind Hersteller von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden, daneben Importeure, Händler und beauftragte Entwickler. Zu prüfen sind Produktkategorien (Standard, wichtig, kritisch), Rolle in der Lieferkette, bestehende CE-Verfahren, Schwachstellenmanagement, Supportzeitraum, Software-Stückliste und Verträge mit Auftragsentwicklern.
Auswirkungen auf den Betrieb
Weil die Meldepflichten zeitlich vor der vollen Geltung einsetzen, müssen Erkennung, Bewertung und Meldung von Schwachstellen früher organisiert sein als Konformitätsbewertung und CE-Kennzeichnung. Die Verordnung fordert Sicherheit über den gesamten Lebenszyklus; damit verschieben sich Nachweispflichten auf technische Dokumentation, Update-Mechanismen und Klauseln in der Lieferkette.
Typische Fehler sind die Annahme, nur klassische Software sei betroffen, fehlende Meldekanäle und Zuständigkeiten, ein Supportende ohne Updatepfad sowie Verträge ohne Sicherheits- und Meldeklauseln mit Zulieferern. Bei Verstößen drohen Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, wobei der höhere Betrag maßgeblich ist.
Bei „Cyber Resilience Act: Meldepflichten seit dem 14. Oktober 2026 und die volle Geltung ab Dezember 2027 – was Hersteller digitaler Produkte jetzt prüfen müssen“ werden amtliche Vorgaben oder Statistiken, eigene Vertrags- und Prozessdaten sowie noch ungeprüfte Annahmen getrennt dokumentiert. Eine allgemeine Quelle beschreibt den äußeren Rahmen, ersetzt aber weder Belege zum konkreten Unternehmen noch einen Test des tatsächlichen Ablaufs.
Entscheidung
Wenn Produkte ab September 2026 aktiv am Markt genutzt werden, sollte ein Melde- und Reaktionsprozess vorab aufgebaut und getestet werden. Für Neuentwicklungen mit CE-Verfahren ist die Konformitätsplanung auf den 11. Dezember 2027 auszurichten; kritische Kategorien verlangen frühere externe Bewertung und angepasste Verträge.
Umsetzungsplan
- Produktportfolio nach digitalen Elementen und Risikokategorien erfassen.
- Meldewege zu CSIRT und ENISA mit Fristen von 24, 72 und 14 Tagen schriftlich festlegen.
- Supportzeitraum, Updateprozess und Lieferantenklauseln an die Verordnung anpassen.
- Für „Cyber Resilience Act: Meldepflichten seit dem 14. Oktober 2026 und die volle Geltung ab Dezember 2027 – was Hersteller digitaler Produkte jetzt prüfen müssen“ jeweils eine entscheidende und eine ausführende Person sowie einen festen Prüftermin benennen.
- Für „Cyber Resilience Act: Meldepflichten seit dem 14. Oktober 2026 und die volle Geltung ab Dezember 2027 – was Hersteller digitaler Produkte jetzt prüfen müssen“ Quellenseite, Abrufdatum, betroffene Einheit und interne Belege für und gegen die aktuelle Entscheidung gemeinsam ablegen.
- Bei einer Änderung von Vorschrift, Preis, Vertrag oder Praxisergebnis nur den betroffenen Prüfungspunkt zu „Cyber Resilience Act: Meldepflichten seit dem 14. Oktober 2026 und die volle Geltung ab Dezember 2027 – was Hersteller digitaler Produkte jetzt prüfen müssen“ erneut öffnen.
Nachweis und Kontrolle
Für „Cyber Resilience Act: Meldepflichten seit dem 14. Oktober 2026 und die volle Geltung ab Dezember 2027 – was Hersteller digitaler Produkte jetzt prüfen müssen“ beginnt die Kontrolle mit einem echten Vorgang und nicht mit einer abstrakten Checkliste. Dokumentiert werden Ausgangsdaten, verantwortliche Person, Beginn, Ergebnis und Abbruchkriterium. Wenn der Schritt „Produktportfolio nach digitalen Elementen und Risikokategorien erfassen.“ nicht mit aktuellen Unterlagen belegt werden kann, darf der Prozess nicht auf weitere Gesellschaften, Produkte oder Fälle ausgeweitet werden.
Die zweite Prüfung folgt dem Schritt „Meldewege zu CSIRT und ENISA mit Fristen von 24, 72 und 14 Tagen schriftlich festlegen.“. Quelle, Abrufdatum, betroffene Einheit, Frist, Kostenwirkung und Zuständigkeit gehören in dieselbe Akte. Eine reine Formulierungsfrage löst keine Neufassung aus. Wiederholt sich derselbe Fehler oder betrifft er eine gesetzliche Pflicht, wird gezielt korrigiert und die Freigabe bis zum Nachweis ausgesetzt.
Nach „Supportzeitraum, Updateprozess und Lieferantenklauseln an die Verordnung anpassen.“ werden Soll und tatsächliches Ergebnis verglichen. Für jede weitere Ausbaustufe gelten dieselben Erfolgskriterien. Ändert sich später nur eine Zahl, Frist oder Zuständigkeit, wird genau dieser Teil aktualisiert; bereits bestätigte Nachweise bleiben erhalten. So bleibt der Vorgang prüfbar, ohne Zeit und Budget durch vollständige Wiederholungen zu verbrauchen.
Grenzen der Einordnung
Der Beitrag fasst Fristen und Pflichten der Verordnung zusammen und ist keine Rechts- oder Konformitätsberatung. Kategorisierung, harmonisierte Normen und Nachweisführung sind mit benannter Stelle, Prüfstelle und Rechtsberatung zu klären.
