Ab dem 11. September 2026 gelten im Cyber Resilience Act neue Meldepflichten für Hersteller digitaler Produkte. Gemeldet werden müssen aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle, die sich auf die Sicherheit eines Produkts mit digitalen Elementen auswirken. Die Fristen sind kurz: Eine erste Warnung muss grundsätzlich innerhalb von 24 Stunden erfolgen, eine ausführlichere Meldung innerhalb von 72 Stunden. Für Hersteller bedeutet das nicht nur eine Aufgabe der IT-Sicherheit. Auch Produktdokumentation, Supportprozesse, Rückruf- und Updatefähigkeit sowie der Umgang mit ausgemusterter Hardware müssen zusammenpassen. Der Artikel zeigt, was die neuen Pflichten praktisch bedeuten und warum eine kontrollierte IT-Aussonderung Teil der Cyber-Resilienz sein kann.
Vom Sicherheitsvorfall zum kontrollierten IT-Lebenszyklus
Der Cyber Resilience Act, kurz CRA, gilt grundsätzlich ab dem 11. Dezember 2027. Eine wichtige Ausnahme betrifft Artikel 14: Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gelten bereits seit dem 11. September 2026. Betroffen sind Hersteller von Produkten mit digitalen Elementen, die auf dem europäischen Markt bereitgestellt werden. Dazu können beispielsweise vernetzte Hardware, industrielle Steuerungskomponenten, Router, Sicherheitsprodukte, Softwareprodukte oder Geräte mit integrierten digitalen Funktionen gehören.Die Regelung unterscheidet zwischen zwei meldepflichtigen Ereignissen. Eine aktiv ausgenutzte Schwachstelle liegt vor, wenn eine Sicherheitslücke tatsächlich von Angreifern ausgenutzt wird. Ein schwerer Sicherheitsvorfall ist gegeben, wenn die Sicherheit des Produkts erheblich beeinträchtigt wird oder beeinträchtigt werden kann. Dazu zählen insbesondere Auswirkungen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit wichtiger Daten und Funktionen. Auch das Einschleusen oder Ausführen von Schadcode kann darunterfallen.Die Meldung erfolgt über die zentrale CRA-Meldeplattform. Hersteller müssen eine Frühwarnung grundsätzlich innerhalb von 24 Stunden nach Kenntnis abgeben. Innerhalb von 72 Stunden ist eine ergänzende Meldung mit weiteren verfügbaren Informationen erforderlich. Bei aktiv ausgenutzten Schwachstellen folgt spätestens 14 Tage nach Bereitstellung einer Korrektur- oder Abhilfemaßnahme ein Abschlussbericht. Bei schweren Sicherheitsvorfällen ist grundsätzlich innerhalb eines Monats nach der 72-Stunden-Meldung ein Abschlussbericht vorgesehen.Für Unternehmen ist entscheidend, dass die Fristen nicht erst mit einer vollständig geklärten technischen Ursache beginnen. Maßgeblich ist die Kenntnis des Herstellers von der aktiv ausgenutzten Schwachstelle oder dem schweren Vorfall. Deshalb benötigen Hersteller belastbare interne Eskalationswege. Meldungen aus dem Sicherheitsbetrieb, dem Kundendienst, der Produktentwicklung, dem Schwachstellenmanagement und dem Vertrieb müssen zusammengeführt werden. Zuständigkeiten sollten bereits vor einem Vorfall festgelegt sein.Der CRA betrifft damit nicht nur Security-Teams. Er verlangt über den Produktlebenszyklus hinweg einen strukturierten Umgang mit Schwachstellen, Sicherheitsupdates und technischen Informationen. Hersteller müssen Produkte risikoorientiert entwickeln, bekannte ausnutzbare Schwachstellen vermeiden und Sicherheitslücken ohne unnötige Verzögerung beheben. Für viele Unternehmen bedeutet das, Softwarebestandteile, Abhängigkeiten, Supportzeiträume und Updateprozesse genauer zu dokumentieren.Eine besondere Bedeutung hat dabei die eindeutige Produktidentifikation. Im Krisenfall muss bekannt sein, welche Produktversionen, Seriennummern, Softwarestände und Kundengruppen betroffen sind. Diese Informationen sind auch für Rückruf, Austausch und sichere Außerbetriebnahme wichtig. Wird ein vernetztes Gerät ersetzt, reicht es nicht aus, es lediglich aus dem Netzwerk zu entfernen. Zugangsdaten, Zertifikate, Konfigurationen, Protokolle und lokal gespeicherte Daten müssen kontrolliert behandelt werden.Hier entsteht eine direkte Verbindung zur IT-Asset-Disposition. Der CRA verpflichtet einen Entsorgungsdienstleister nicht automatisch zur Meldung nach Artikel 14. Die primäre Meldepflicht liegt beim Hersteller. Ein spezialisiertes Recycling- oder Rückbauunternehmen kann jedoch wichtige Informationen für die sichere Reaktion liefern. Dazu gehören beispielsweise die Identifikation betroffener Geräte, die getrennte Sicherung von Rückläufern, die nachvollziehbare Übergabe sowie der Nachweis, dass ausgemusterte Hardware nicht wieder unkontrolliert in Umlauf gelangt.In der Unternehmenspraxis sollte deshalb ein Prozess für Sicherheitsrückläufer definiert werden. Geräte aus einem Incident, einem Austauschprogramm oder einem Rückruf sollten getrennt angenommen, inventarisiert und gegen eine unbeabsichtigte Wiederverwendung gesichert werden. Datenträger sind nach ihrem Schutzbedarf zu behandeln. Je nach Zustand und geplanter Weiterverwendung kommen eine geprüfte Datenlöschung oder eine physische Datenträgervernichtung nach DIN 66399 in Betracht. Entscheidend sind ein passendes Verfahren, eine nachvollziehbare Dokumentation und die eindeutige Zuordnung zum jeweiligen Asset.Corebo kann Unternehmen bei solchen Abläufen mit Abholung, Sicherheitstransporten, IT-Rückbau, Datenlöschung, Datenträgervernichtung und Recycling unterstützen. Für die Compliance ist dabei weniger die einzelne Dienstleistung ausschlaggebend als ein durchgängiger Nachweis: Welche Geräte wurden übernommen, welche Maßnahmen wurden durchgeführt, welche Datenträger wurden gelöscht oder vernichtet und welche Materialien wurden anschließend verwertet?Der 11. September 2026 ist somit kein isolierter Meldetermin für Hersteller. Er markiert den Beginn einer operativen Verantwortung, die von der Schwachstellenerkennung bis zur kontrollierten Aussonderung reichen kann. Unternehmen sollten ihre Meldewege, Produktdaten, Austauschprozesse und Entsorgungsnachweise gemeinsam betrachten. So wird aus einer kurzfristigen gesetzlichen Reaktion ein belastbarer Prozess für IT-Sicherheit, Datenschutz, Wiederverwendung und Recycling.