Cyber Resilience Act: Erste Meldepflichten treten in Kraft

(Frankfurt am Main, 11. September 2026) Die ersten gesetzlichen Anforderungen des Cyber Resilience Acts (CRA) gelten seit dem 11. September 2026. Daran erinnert der Verband der Elektrotechnik Elektronik Informationstechnik (VDE). „Ab sofort müssen Hersteller Prozesse eingerichtet haben, mit denen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle erkennen, bewerten und fristgerecht melden können“, sagt Alexander Matheus, Senior Expert Smart Technologies und Information Security beim VDE Institut. Werden die vorgeschriebenen Meldungen nicht fristgerecht abgegeben, drohen Sanktionen durch die Marktaufsichtsbehörden. Der CRA sieht Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor.

„Gemeldet werden müssen aktiv ausgenutzte Sicherheitslücken sowie schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines Produkts mit digitalen Elementen beeinträchtigen“, erklärt Matheus. „Die Fristen sind dabei sehr kurz. Unternehmen müssen innerhalb enger Zeitfenster reagieren und entsprechende Meldungen an die zuständigen Stellen übermitteln. Deshalb sind klare Prozesse und Verantwortlichkeiten entscheidend.“

CRA bringt erheblichen Anpassungsbedarf mit sich

Mit dem CRA dürfen künftig nur noch Produkte mit digitalen Elementen eine CE-Kennzeichnung erhalten, wenn sie die vorgeschriebenen Cybersecurity-Anforderungen erfüllen. Nur dann dürfen sie auf dem europäischen Markt in Verkehr gebracht werden. Betroffen sind Hersteller von Produkten mit digitalen Elementen, darunter beispielsweise vernetzte Haushaltsgeräte, industrielle Steuerungssysteme, Softwareprodukte oder Komponenten im Internet der Dinge. Für viele Unternehmen bedeutet der CRA erheblichen organisatorischen und technischen Anpassungsbedarf. Neben einem erhöhten Dokumentationsaufwand müssen Entwicklungsprozesse angepasst werden. Zudem wird ein kontinuierliches Schwachstellenmanagement erforderlich. Die Überwachung von Lieferanten und Zulieferern gewinnt ebenfalls an Bedeutung. 

Auch wenn die meisten Anforderungen erst ab Dezember 2027 gelten, sollten betroffene Unternehmen nach Ansicht des VDE die Umsetzung nicht weiter aufschieben. „Wer den 11. September als ersten großen Meilenstein versteht und jetzt aktiv wird, schafft die Voraussetzungen für eine erfolgreiche und effiziente Umsetzung der weiteren CRA-Anforderungen bis 2027“, sagt Cyber-Security-Experte Alexander Matheus mit Blick auf die kommenden Monate.

Unternehmen sollten bereits heute Klarheit darüber haben, welche ihrer Produkte unter den CRA fallen, wer die erforderlichen Dokumentationen erstellt und welche Prozesse für die Meldung von Schwachstellen und Sicherheitsvorfällen gelten. „Je früher diese Fragen beantwortet werden, desto effizienter kann die Umsetzung erfolgen“, sagt Matheus.

Transparenz über individuellen Handlungsbedarf

Um Unternehmen bei der Umsetzung dieser komplexen Anforderungen zu unterstützen, begleitet das VDE Institut Hersteller entlang des gesamten Compliance-Prozesses. Das Leistungsspektrum reicht von ersten CRA-Readiness Assessments und Betroffenheitsanalysen über detaillierte Gap-Analysen bis hin zur Unterstützung bei Risikobewertungen und der Bewertung technischer Dokumentationen. Darüber hinaus führt das VDE Institut Prüfungen von Produkten und Systemen sowie umfassende Cybersecurity-Tests durch, um potenzielle Schwachstellen frühzeitig zu identifizieren und Sicherheitsanforderungen zuverlässig zu bewerten.
Ziel ist es, Unternehmen frühzeitig Transparenz über ihren individuellen Handlungsbedarf zu verschaffen und einen klaren, praxisorientierten Fahrplan zur CRA-Konformität bereitzustellen. So können Unternehmen die Anforderungen des CRA systematisch erfüllen und die Marktfähigkeit ihrer Produkte langfristig sichern.

Weitere Informationen und Zitate von Alexander Matheus finden sich in diesem Interview.
 

Über das VDE Institut 

Seit über 100 Jahren gilt das VDE Zeichen als Synonym für Sicherheit und Qualität von elektrotechnischen Geräten, Komponenten und Systemen. Das VDE Institut, eine Tochter der VDE Gruppe, ist weltweiter Partner für Industriekunden, den Handel, Behörden, das Elektrohandwerk und Verbraucher. Mehr als 100.000 Geräte pro Jahr unterziehen die unabhängigen Prüfingenieure des VDE Instituts Produkt-, Qualitäts- und Sicherheitstests, bevor sie das VDE Zeichen erhalten. Rund um den Globus überwachen die VDE Experten mehr als 7.000 Fertigungsstätten. Kooperationsvereinbarungen mit über 50 Ländern sorgen dafür, dass die vom VDE Institut durchgeführten Prüfungen international anerkannt sind. Weltweit tragen 200.000 Produkttypen mit einer Million Modellvarianten das VDE Zeichen. Die gemeinnützige VDE Prüf- und Zertifizierungsinstitut GmbH beschäftigt in Offenbach am Main mehr als 500 Mitarbeiter*innen. 

Mehr Informationen unter www.vde.com/institut

Über den VDE

Der VDE, eine der größten Technologie-Organisationen Europas, steht seit mehr als 130 Jahren für Innovation und technologischen Fortschritt. Als einzige Organisation weltweit vereint der VDE dabei Wissenschaft, Standardisierung, Prüfung, Zertifizierung und Anwendungsberatung unter einem Dach. Das VDE Zeichen gilt seit mehr als 100 Jahren als Synonym für höchste Sicherheitsstandards und Verbraucherschutz. 

Wir setzen uns ein für die Forschungs- und Nachwuchsförderung und für das lebenslange Lernen mit Weiterbildungsangeboten „on the job“. Im VDE Netzwerk engagieren sich über 2.000 Mitarbeiter*innen an über 60 Standorten weltweit, mehr als 100.000 ehrenamtliche Expert*innen und rund 1.500 Unternehmen gestalten im Netzwerk VDE eine lebenswerte Zukunft: vernetzt, digital, elektrisch.  
Wir gestalten die e-diale Zukunft. 

Sitz des VDE (VDE Verband der Elektrotechnik Elektronik und Informationstechnik e.V.) ist Frankfurt am Main. Mehr Informationen unter www.vde.com