Willkommen zurück zu Kokobos Tech-Analyse. Wenn Sie vernetzte Geräte in der Europäischen Union herstellen, vertreiben oder verkaufen, markiert der Januar 2026 den Beginn einer massiven regulatorischen Verschiebung. Der EU Cyber Resilience Act (CRA) ist im Dezember 2024 offiziell in Kraft getreten, doch 2026 ist das Jahr, in dem die Schonfrist endet und die eigentliche operative Infrastruktur übernimmt.
Während die vollständigen Produktkonformitätsanforderungen (wie die obligatorische CE-Kennzeichnung für Cybersicherheit) erst am 11. Dezember 2027 in Kraft treten, kommt die erste Schockwelle viel früher. Wenn Sie bis 2027 warten, um Ihre Sicherheitsoperationen zu überarbeiten, sind Sie bereits im Verzug.
Die Frist der „Legacy-Falle“ am 11. September
Ab dem 11. September 2026 müssen Hersteller neue, aggressive Meldepflichten für Vorfälle erfüllen. Entscheidend ist, dass diese Melderegeln für alle Produkte im Geltungsbereich des CRA gelten, die bereits auf dem EU-Markt sind. Es spielt keine Rolle, ob Ihr Produkt 2019 ausgeliefert wurde; wenn es noch aktiv genutzt wird und eine aktiv ausgenutzte Schwachstelle enthält, müssen Sie diese erkennen und melden.
Der CRA schreibt einen strengen, nicht verhandelbaren mehrstufigen Meldeprozess über die Single Reporting Platform der EU-Agentur für Cybersicherheit (ENISA) vor:
| Meldezeitraum | Meldepflicht | Empfängerbehörden |
| Innerhalb von 24 Stunden | Die Frühwarnmeldung: Eine Warnung vor einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall. Dies erfordert einen hochgradig abgestimmten internen Triage-Prozess. | Nationale CSIRT und ENISA |
| Innerhalb von 72 Stunden | Die Schwachstellenmeldung: Ein detaillierter Bericht, der die allgemeine Art des Exploits, die ergriffenen ersten Abhilfemaßnahmen, umsetzbare Schritte, die Benutzer ergreifen können, und eine Bewertung der Schwachstellenempfindlichkeit darlegt. | Nationale CSIRT und ENISA |
| Innerhalb von 14 Tagen | Der Abschlussbericht: Spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme (z. B. eines Firmware-Patches) einzureichen. Detaillierte Post-Mortem-Analyse, die Ursache, Schweregrad, Auswirkungen und Daten zum Bedrohungsakteur abdeckt. | Nationale CSIRT und ENISA |
Konformitätsbewertungen starten im Juni
Um den Markt auf die massive Einführung im Jahr 2027 vorzubereiten, wird der Rechtsrahmen für Konformitätsbewertungsstellen (CABs) am 11. Juni 2026 in Kraft treten. Diese unabhängigen, staatlich benannten Labore werden mit der Prüfung und Zertifizierung von Produkten beginnen, um sicherzustellen, dass sie die CRA-Standards erfüllen.
Während etwa 90 % der standardmäßigen vernetzten Produkte lediglich eine Hersteller-Selbsterklärung zur Konformität erfordern, werden Produkte, die als „wichtig“ oder „kritisch“ eingestuft sind, einer strengen Prüfung durch Dritte unterzogen. Dazu gehören Passwortmanager, Smart-Meter-Gateways, Firewalls und Betriebssysteme. Sobald eine CAB erfolgreich benachrichtigt wurde, wird sie in die „NANDO“-Liste der EU aufgenommen, was einen Wettlauf der Hersteller auslösen wird, um Prüfplätze zu sichern, bevor der Rückstand von 2027 beginnt.
Die finanziellen und operativen Risiken
Die finanziellen Strafen für die Nichteinhaltung dieser neuen Standards sind im Hardware- und Softwarebereich beispiellos. Bußgelder für schwerwiegende Verstöße können bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes eines Unternehmens betragen, je nachdem, welcher Betrag höher ist.
Für die meisten Unternehmen muss das vorrangige Ziel für die erste Hälfte des Jahres 2026 darin bestehen, die minimale operative Fähigkeit zur Einhaltung der Meldepflichten im September aufzubauen. Dies bedeutet die Festlegung einer Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD), die Kartierung Ihrer CRA-Exposition über ältere Geräte hinweg und die Durchführung von Tabletop-Übungen, um sicherzustellen, dass Ihre Ingenieur- und Rechtsteams tatsächlich innerhalb von 24 Stunden einen ENISA-Bericht erstellen und einreichen können.