IT-Sicherheit · Branchen-Briefing

Ab sofort müssen Hersteller von vernetzten Produkten (Hardware und Software) die Meldepflichten der Cyber Resilience Act (CRA) erfüllen. Die Single Reporting Platform (SRP) der EU-Agentur für Cybersicherheit (ENISA) ist seit heute die zentrale Meldestelle. Hersteller müssen innerhalb von 24 Stunden eine Frühmeldung, innerhalb von 72 Stunden eine detaillierte Meldung und abschließend (je nach Art des Vorfalls innerhalb von 14 Tagen bis einem Monat) einen Abschlussbericht einreichen. Die Meldung erfolgt an die nationale CSIRT (CDaC) des EU-Mitgliedstaates, in dem sich die Hauptniederlassung des Herstellers befindet, wo Cybersicherheitsentscheidungen überwiegend getroffen werden. Zur Vorbereitung müssen Hersteller autorisierte Vertreter (ARs) ernennen, EU-Login-Konten mit Multi-Faktor-Authentifizierung einrichten, ihre Incident-Response- und Schwachstellenmanagement-Richtlinien aktualisieren und Personal schulen. Reportable Ereignisse umfassen aktiv ausgenutzte Schwachstellen und ernsthafte Zwischenfälle mit erheblichen Auswirkungen auf die Produktsicherheit. Die Durchsetzung wird sich im Laufe der Zeit verstärken; große Technologie-, Maschinen- und Softwareunternehmen dürften früh regulatorische Aufmerksamkeit erfahren.

Der Cyber Resilience Act (CRA) schafft europaweit einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und betrifft Hersteller, Importeure und Händler. Seit dem 11. September 2026 gelten Meldepflichten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb von 24 Stunden, 72 Stunden und maximal 14 Tagen beziehungsweise einen Monat den Behörden melden. Ab dem 11. Dezember 2027 dürfen nur noch CRA-konforme Produkte in der EU in Verkehr gebracht werden. Der CRA verpflichtet zu Risikobewertungen, Konformitätsbewertungsverfahren mit CE-Kennzeichnung, kostenfreien Sicherheitsupdates über die gesamte Produktlebensdauer und umfassender technischer Dokumentation einschließlich Software-Stückliste (SBOM). Verstöße gegen den CRA werden mit Bußgeldern bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes für Hersteller geahndet, für Importeure und Händler bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes. Nichtkonforme Produkte dürfen nicht mehr in der EU verkauft werden und können zurückgerufen werden. Laut einer Bitkom-Umfrage sind bislang nur 3 von 10 Unternehmen auf das Gesetz vorbereitet, obwohl bereits Meldepflichten für Alt- und Neuprodukte gelten.

Das Justizministerium (DOJ) hat eine Vereinbarung mit dem Rüstungsunternehmen LOGZONE abgeschlossen, wonach dieses 507.144 Dollar zahlt, um Vorwürfe der Nichteinhaltung von Cybersecurity-Anforderungen in Navy-Verträgen beizulegen. Der Fall ist bedeutsam, da er zeigt, dass Regierungsauftragnehmer unter dem False Claims Act (FCA) für Cybersecurity-Compliance-Verstöße haftbar gemacht werden können, ohne dass es einer Whistleblower-Beschwerde, freiwilligen Selbstanzeige oder einer Datenschutzverletzung bedarf. Dies unterstreicht die gestiegenen Anforderungen an genaue Compliance-Bewertungen in der Branche.