CRA im Oktober 2026: ENISA-Meldungen sind jetzt verpflichtend

Die Verordnung (EU) 2024/2847, bekannt als CRA, ist von einer zukünftigen Norm zu einer operativen Realität geworden. Nach ihrem Inkrafttreten im November 2024 hat der Umsetzungsplan seinen ersten kritischen Meilenstein erreicht: die Aktivierung der Meldepflichten. Für Cybersicherheitsprofis markiert dies das Ende der theoretischen Vorbereitungsphase und den Beginn der direkten rechtlichen Verantwortung für das Schwachstellenmanagement.

Im Gegensatz zu früheren Vorschriften, die sich auf bestimmte Sektoren konzentrierten, hat die CRA eine beispiellose horizontale Reichweite. Sie umfasst alles von Heim-Routern bis hin zu kritischen industriellen Systemen und verlangt, dass Sicherheit bereits in der Designphase integriert wird. Dieser Ansatz zielt darauf ab, das Problem von Produkten zu lösen, die mit weitverbreiteten Schwachstellen und ohne Garantien für langfristigen Support auf den Markt kommen.

Seit dem 11. September 2026 sind Hersteller von Produkten mit digitalen Elementen verpflichtet, sowohl die als Koordinator benannte nationale CSIRT als auch die ENISA gleichzeitig zu informieren. Diese Pflicht wird durch zwei konkrete Szenarien ausgelöst: die Erkennung einer aktiv ausgenutzten Schwachstelle und das Eintreten eines schweren Vorfalls, der die Produktsicherheit beeinträchtigt.

Diese Meldung ist nicht optional und kann nicht ohne Aufsicht an Dritte delegiert werden. Die Verordnung legt fest, dass der Empfang dieser Meldungen eine unvermeidbare gesetzliche Pflicht des Herstellers ist, unabhängig davon, ob das Produkt Hardware, Software oder eine Kombination aus beidem ist. Die Nichteinhaltung kann zu erheblichen Sanktionen führen, da es sich um eine der ersten bindenden Regeln des europäischen Rahmens für Produktsicherheit handelt.

Obwohl die Meldungen bereits verpflichtend sind, tritt die volle Konformität mit der CRA erst am 11. Dezember 2027 ein. Zwischen diesen beiden Daten müssen Hersteller den Rest ihrer Lebenszyklusprozesse vorbereiten. Dies umfasst die Erstellung von SBOMs (Software Bill of Materials), das Signieren von Updates und die Konformitätsbewertung für Produkte mit hoher Kritikalität.

Ein relevanter Zwischenmeilenstein ist der 11. Juni 2026, das Datum, ab dem das Regime für die Konformitätsbewertungsstellen anwendbar ist. Das bedeutet, dass Unternehmen, die Produkte der höchsten Risikoklasse herstellen, bereits mit benannten Stellen interagieren müssen, um die CE-Kennzeichnung für Cybersicherheit zu erhalten, eine Voraussetzung für die Vermarktung in der EU.

Für KMU stellt die CRA eine Ressourcenherausforderung dar. Die Orientierung der Europäischen Kommission, die im Juli 2026 genehmigt wurde, zielt darauf ab, die Konformität für diese Unternehmen zu erleichtern, aber die Verwaltungslast bleibt erheblich. Kleinen Organisationen wird empfohlen, das Schwachstellenmanagement und die Dokumentation ihrer Software-Versorgungskette zu priorisieren, da dies die Punkte mit dem höchsten unmittelbaren Nichteinhaltungsrisiko sind.

Reine SaaS-Lösungen fallen in der Regel nicht unter den direkten Anwendungsbereich der CRA, es sei denn, sie gelten als Remote-Datenverarbeitungslösungen, die mit einem physischen Produkt verbunden sind. Diese Unterscheidung ist für Softwareunternehmen entscheidend, die bestimmen müssen, ob ihr Produkt als 'Produkt mit digitalen Elementen' oder als Standard-Softwaredienst gilt.

Es ist grundlegend, die CRA nicht mit der DSGVO oder der KI-Verordnung zu verwechseln. Die DSGVO schützt die personenbezogenen Daten der Nutzer, während die CRA die Integrität und Sicherheit des digitalen Produkts selbst schützt. Ein Unternehmen kann die DSGVO einhalten und dennoch gegen die CRA verstoßen, wenn sein Produkt unbehobene Schwachstellen aufweist oder Sicherheitsvorfälle nicht meldet.

Die KI-Verordnung regelt die Entwicklung und Nutzung von Künstliche-Intelligenz-Systemen, während die CRA auf jedes digitale Produkt anwendbar ist, mit oder ohne KI. Die Schnittstelle zwischen beiden Vorschriften wächst, insbesondere im Management von durch KI-Modelle generierten Schwachstellen, aber die Konformitätsrahmen sind unterschiedlich und erfordern separate Audits.

Die Europäische Kommission hat ihre offiziellen Leitlinien zur Anwendung der CRA veröffentlicht, ein Dokument von etwa 80 Seiten, das die häufigsten Zweifel der Hersteller klärt. Obwohl es nicht bindend ist, nutzen Marktüberwachungsbehörden es als Referenz für eine kohärente Lesart. Hersteller müssen dieses Dokument zusammen mit dem bindenden Text der Verordnung lesen, um ihre Konformität sicherzustellen.

Die ENISA hat auch Leitfäden zur Cybersicherheit im Zeitalter der Frontier-KI veröffentlicht, die Perspektiven darauf bieten, wie die KI die Definition ausnutzbarer Schwachstellen beeinflusst. Diese Ressourcen sind für Unternehmen unerlässlich, die ihre Cybersicherheitsstrategien mit den europäischen regulatorischen Erwartungen abstimmen möchten.