Cyber Resilience Act
Der Cyber Resilience Act (CRA) ist am 10.12.2024 in Kraft getreten und verpflichtet Hersteller von Produkten mit digitalen Elementen (Hardware und Software) zu Cybersicherheit über den gesamten Produktlebenszyklus. Die Pflichten gelten gestaffelt: Ab 11.09.2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, gestuft als Frühwarnung binnen 24 Stunden, Folgebericht binnen 72 Stunden und Abschlussbericht. Die Meldung läuft über die Single Reporting Platform von ENISA, die automatisch an das koordinierende CSIRT des Mitgliedstaats weiterleitet. Die volle Anwendung mit CE-Kennzeichnung und Konformitätsbewertung folgt ab 11.12.2027. Verstöße können mit bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden.
Beispiel
Ein Hersteller vernetzter Produkte muss ab dem 11.09.2026 eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden über die Single Reporting Platform an ENISA und das zuständige koordinierende CSIRT melden, für Deutschland also an BSI und CERT-Bund.