Inhaltsverzeichnis
Das Wichtigste in Kürze
- Rechtsgrundlage: Der Cyber Resilience Act (Verordnung (EU) 2024/2847, deutsch Cyberresilienz-Verordnung) ist am 10. Dezember 2024 in Kraft getreten und gilt EU-weit unmittelbar, ganz ohne nationale Umsetzung.
- Drei entscheidende Stichtage: 11. Juni 2026 (Regelungen zu notifizierten Stellen), 11. September 2026 (Melde- und Berichtspflichten nach Art. 14) und 11. Dezember 2027 (Vollanwendung aller übrigen Pflichten).
- 24-Stunden-Meldepflicht ab 11.09.2026: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle binnen 24 Stunden als Frühwarnung an den zuständigen CSIRT und die ENISA melden.
- Vollanwendung ab 11.12.2027: Ab diesem Tag greifen CE-Kennzeichnung, Konformitätsbewertung, grundlegende Sicherheitsanforderungen und die technische Dokumentation.
- Handlungsdruck: Wer 2027 konform sein will, muss 2026 starten. Gap-Analyse, Security by Design, Dokumentation und Konformitätsbewertung brauchen realistisch zwölf bis achtzehn Monate Vorlauf.
Der Cyber Resilience Act ist keine ferne Ankündigung mehr, sondern ein laufender Countdown. Die Verordnung ist bereits in Kraft, und die erste harte Frist greift in wenigen Wochen: Ab dem 11. September 2026 gilt die 24-Stunden-Meldepflicht für aktiv ausgenutzte Schwachstellen. Damit ist der CRA für Hersteller, Importeure und Händler von Produkten mit digitalen Elementen keine Frage des Ob mehr, sondern des Wann und Wie schnell. Wer die Stichtage kennt und rückwärts plant, behält die Kontrolle. Wer wartet, gerät unter Zeitdruck bei einem Vorhaben, das sich nicht in Wochen erledigen lässt.
Dieser Beitrag ordnet die Fristen des Cyber Resilience Act chronologisch, erklärt für jeden Stichtag konkret, was gilt und wer handeln muss, und rechnet vor, warum der Startpunkt für die meisten Unternehmen im Jahr 2026 liegt. Einen vollständigen Überblick zum Cyber Resilience Act mit Scope, Produktklassen und Sanktionen finden Sie auf unserer Themenseite. Hier steht der Zeitplan im Mittelpunkt.
Cyber Resilience Act: Ab wann gilt was?
Der Cyber Resilience Act ist am 20. November 2024 im Amtsblatt der EU veröffentlicht worden und zwanzig Tage später, am 10. Dezember 2024, in Kraft getreten. Damit begann die gestaffelte Übergangsfrist. Anders als bei einer Richtlinie mussten die Mitgliedstaaten den CRA nicht erst in nationales Recht überführen: Als Verordnung gilt er in allen 27 EU-Staaten unmittelbar und einheitlich. Für Unternehmen heißt das, dass die Termine fest stehen und nicht von einer nationalen Umsetzung abhängen.
Die Verordnung wird nicht auf einen Schlag wirksam, sondern in drei Stufen. Diese Staffelung ist bewusst gewählt: Zuerst muss die Infrastruktur für die Konformitätsbewertung stehen, dann greifen die Meldepflichten, und erst am Ende folgt die volle Produktverantwortung. Die folgende Timeline zeigt die vier zentralen Daten im Überblick.
| Datum | Was gilt ab diesem Tag | Wer muss handeln |
|---|---|---|
| 10.12.2024 | Der Cyber Resilience Act tritt in Kraft, die Übergangsfrist beginnt. | Alle Wirtschaftsakteure: Der Countdown läuft, die Vorbereitung sollte anlaufen. |
| 11.06.2026 | Die Regelungen zu notifizierten Stellen (Kapitel IV) gelten. | Konformitätsbewertungsstellen können benannt werden; Hersteller kritischer Produkte sichern sich Prüfkapazität. |
| 11.09.2026 | Die Melde- und Berichtspflichten nach Art. 14 gelten. | Hersteller: 24-Stunden-Frühwarnung an CSIRT und ENISA bei aktiv ausgenutzten Schwachstellen und schweren Vorfällen. |
| 11.12.2027 | Vollanwendung aller übrigen Pflichten des Cyber Resilience Act. | Hersteller, Importeure und Händler: CE-Kennzeichnung, Konformitätsbewertung, grundlegende Anforderungen, Dokumentation. |
Ob und wie stark diese Termine Sie treffen, hängt von Ihrer Rolle in der Lieferkette ab. Der erste Schritt zur Einordnung ist deshalb die Frage, wer vom Cyber Resilience Act betroffen ist: vom Hersteller physischer Geräte mit Software über den Anbieter reiner Softwareprodukte bis zum Importeur, der Produkte aus Drittländern in den EU-Markt bringt.
11. Juni 2026: Die notifizierten Stellen gehen an den Start
Der erste operative Stichtag betrifft nicht die Hersteller direkt, ist für sie aber trotzdem wichtig. Ab dem 11. Juni 2026 gelten die Vorschriften des Kapitels IV zur Benennung von Konformitätsbewertungsstellen. Das sind die unabhängigen Prüforganisationen, die bei bestimmten Produktkategorien die Konformität mit dem CRA bewerten und die dafür von den Mitgliedstaaten offiziell notifiziert, also autorisiert, werden müssen.
Für Hersteller von Produkten der höheren Risikoklassen, die eine Bewertung durch eine solche Stelle brauchen, ist das ein leises, aber wichtiges Signal: Die Prüfinfrastruktur baut sich erst ab Mitte 2026 auf. Erfahrungsgemäß sind die Kapazitäten notifizierter Stellen zu Beginn knapp und die Nachfrage vor einer großen EU-Frist hoch. Wer eine externe Konformitätsbewertung einplanen muss, sollte den Prüfweg früh klären und sich nicht darauf verlassen, kurz vor Ende 2027 noch kurzfristig einen Termin zu bekommen.
11. September 2026: Was die 24-Stunden-Meldepflicht konkret bedeutet
Der Stichtag mit der höchsten Dringlichkeit ist der 11. September 2026. Ab diesem Tag gelten die Melde- und Berichtspflichten nach Artikel 14 des Cyber Resilience Act, und zwar unabhängig davon, ob die übrigen Produktpflichten schon greifen. Hersteller müssen ab dann zwei Arten von Ereignissen aktiv melden: aktiv ausgenutzte Schwachstellen in ihren Produkten mit digitalen Elementen und schwere Sicherheitsvorfälle, die die Sicherheit dieser Produkte beeinträchtigen.
Die Meldung folgt einer festen, mehrstufigen Kaskade mit engen Fristen. Sie läuft über eine einheitliche Meldeplattform an den zuständigen nationalen CSIRT (Computer Security Incident Response Team), der die Information zeitgleich der EU-Cybersicherheitsagentur ENISA zur Verfügung stellt:
- Frühwarnung binnen 24 Stunden: Innerhalb eines Tages, nachdem der Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schweren Vorfall Kenntnis erlangt, muss eine erste Frühwarnung abgesetzt werden.
- Meldung binnen 72 Stunden: Spätestens nach drei Tagen folgt eine ausführlichere Meldung mit einer ersten Bewertung des Vorfalls und, soweit verfügbar, Angaben zu Korrektur- oder Abhilfemaßnahmen.
- Abschlussbericht: Bei aktiv ausgenutzten Schwachstellen ist spätestens 14 Tage nach Bereitstellung einer Korrekturmaßnahme ein Abschlussbericht fällig, bei schweren Vorfällen innerhalb eines Monats.
Der Kern dieser Regelung ist die 24-Stunden-Frist. Sie zwingt Unternehmen dazu, Erkennung, Bewertung und Meldeweg vorher organisiert zu haben, denn 24 Stunden reichen nicht, um erst im Ernstfall Zuständigkeiten zu klären. Wer bis September 2026 keinen definierten Prozess hat, wer eine relevante Schwachstelle erkennt, wer die Meldung verantwortet und über welchen Kanal sie erfolgt, riskiert im Vorfall einen Fristverstoß. Diese Pflicht greift zudem für Produkte, die bereits im Markt sind, nicht nur für neu in Verkehr gebrachte. Genau deshalb ist der 11. September 2026 für viele Hersteller die eigentlich erste harte CRA-Frist.
TrustSpace Profi-Tipp: Den Meldeprozess vor dem Ernstfall proben
Ein Meldeprozess, der nur auf dem Papier existiert, hält der 24-Stunden-Frist nicht stand. Definieren Sie vor September 2026 klar, wer eine aktiv ausgenutzte Schwachstelle bewertet, wer die Meldung an den CSIRT freigibt und wer sie technisch absetzt, und halten Sie einen Kontakt- und Eskalationsplan bereit. Ein kurzer Trockenlauf mit einem fiktiven Vorfall zeigt schneller als jede Richtlinie, wo die Kette hakt, und macht aus einer abstrakten Pflicht einen belastbaren Ablauf.
11. Dezember 2027: Die Vollanwendung des Cyber Resilience Act
Der 11. Dezember 2027 ist der Stichtag, an dem der Cyber Resilience Act in vollem Umfang gilt. Ab diesem Tag dürfen Produkte mit digitalen Elementen nur noch auf dem EU-Markt bereitgestellt werden, wenn sie die grundlegenden Cybersicherheitsanforderungen erfüllen, eine Konformitätsbewertung durchlaufen haben, mit der CE-Kennzeichnung versehen sind und über eine vollständige technische Dokumentation verfügen. Damit wird Cybersicherheit zur Marktzugangsvoraussetzung, vergleichbar mit anderen CE-Anforderungen an die Produktsicherheit.
Hinter diesem einen Datum steht die Masse der Arbeit. Security by Design über den gesamten Produktlebenszyklus, ein Schwachstellen-Handling mit Bereitstellung von Sicherheitsupdates über einen definierten Supportzeitraum, eine Software-Stückliste (SBOM) und die lückenlose Dokumentation der Sicherheitsmaßnahmen gehören dazu. Welche Pflichten und Anforderungen des CRA im Einzelnen bis zu diesem Termin erfüllt sein müssen, entscheidet maßgeblich über den Aufwand und damit über den nötigen Vorlauf.
Warum Sie 2026 starten müssen, um 2027 konform zu sein
Bis Dezember 2027 klingt nach viel Zeit. Rechnet man den typischen Projektverlauf jedoch rückwärts, schrumpft der Puffer schnell. Ein CRA-Konformitätsprojekt durchläuft für die meisten Hersteller vier Phasen, die aufeinander aufbauen und sich nur begrenzt parallelisieren lassen:
- Gap-Analyse und Produktklassifizierung (1 bis 3 Monate): Bestandsaufnahme aller Produkte mit digitalen Elementen, Einordnung in die CRA-Kategorien und Abgleich des Ist-Zustands mit den grundlegenden Anforderungen.
- Umsetzung von Security by Design und Prozessen (6 bis 12 Monate): technische Anpassungen an den Produkten, Aufbau des Schwachstellen-Handlings, Update-Mechanismen, SBOM-Erstellung und die Verankerung im Entwicklungsprozess.
- Technische Dokumentation und Nachweise (2 bis 4 Monate, überlappend): Erstellung der technischen Unterlagen, der Risikobewertung und der Konformitätsdokumentation, die den Nachweis der Anforderungen belegen.
- Konformitätsbewertung und CE-Kennzeichnung (1 bis 3 Monate, ggf. mit externer Stelle): interne Bewertung oder Prüfung durch eine notifizierte Stelle, abschließende Konformitätserklärung und Anbringen der CE-Kennzeichnung.
In Summe sind das realistisch zwölf bis achtzehn Monate, bei komplexen Produktportfolios oder externer Bewertung eher mehr. Zieht man vom 11. Dezember 2027 diese Dauer ab, landet der sinnvolle Startpunkt spätestens in der ersten Jahreshälfte 2026. Hinzu kommt, dass die 24-Stunden-Meldepflicht ohnehin schon ab September 2026 steht. Wer diesen Prozess aufsetzt, hat einen guten Teil der organisatorischen Grundlagen für die spätere Vollanwendung bereits geschaffen. Beide Fristen sprechen damit für denselben Startzeitpunkt.
TrustSpace Profi-Tipp: Mit der Gap-Analyse beginnen, nicht mit der Technik
Der häufigste Fehler ist, sofort in einzelne technische Maßnahmen zu springen, ohne den Gesamtstand zu kennen. Wirksamer ist es, zuerst mit einer strukturierten Gap-Analyse zu klären, welche Produkte betroffen sind, in welche CRA-Klasse sie fallen und wo die größten Lücken liegen. Diese Standortbestimmung braucht wenige Wochen, verhindert aber teure Fehlinvestitionen und macht aus einem diffusen Pflichtenberg einen priorisierten, planbaren Fahrplan bis 2027. Eine ISMS-Plattform wie TrustSpaceOS hilft, Anforderungen, Maßnahmen und Nachweise dabei an einem Ort nachvollziehbar zu verwalten.
Bestandsprodukte: Welche Stichtagsregelung gilt
Eine der häufigsten Fragen betrifft Produkte, die vor dem 11. Dezember 2027 bereits auf dem Markt sind. Hier trennt der Cyber Resilience Act sauber zwischen zwei Pflichtenkreisen. Die grundlegenden Produktanforderungen samt CE-Kennzeichnung und Konformitätsbewertung gelten für ein Bestandsprodukt erst dann, wenn es nach dem Stichtag eine wesentliche Änderung (substantial modification) erfährt, etwa durch ein größeres Funktionsupdate, das die ursprüngliche Konformitätsbewertung berührt. Bleibt ein Produkt unverändert, fällt es nicht rückwirkend unter die volle Produktverantwortung.
Die Melde- und Berichtspflichten nach Artikel 14 dagegen greifen für alle Produkte, die sich im Verkehr befinden, unabhängig vom Zeitpunkt der Markteinführung. Eine aktiv ausgenutzte Schwachstelle in einem bereits ausgelieferten Produkt muss also ab dem 11. September 2026 gemeldet werden, auch wenn das Produkt lange vor dem CRA in den Markt kam. Zu beachten ist außerdem eine Übergangsregel für Bescheinigungen: EU-Baumusterprüfbescheinigungen und Zulassungsentscheidungen zu Cybersicherheitsanforderungen bleiben bis zum 11. Juni 2028 gültig, sofern sie nicht vorher auslaufen. Die Stichtagsregelung entlastet Bestandsprodukte also bei den Produktanforderungen, nicht aber bei der laufenden Sicherheitsverantwortung.
Fazit: Die Fristen stehen, der Startschuss ist überfällig
Der Zeitplan des Cyber Resilience Act ist eindeutig und nicht verhandelbar. In Kraft seit dem 10. Dezember 2024, greifen die Regelungen zu notifizierten Stellen ab dem 11. Juni 2026, die 24-Stunden-Meldepflicht ab dem 11. September 2026 und die Vollanwendung ab dem 11. Dezember 2027. Diese vier Daten geben den Takt vor, und der erste operativ spürbare Termin liegt bereits in wenigen Wochen.
Für Hersteller, Importeure und Händler bedeutet das keinen Grund zur Panik, wohl aber zum Handeln. Wer die Rückwärtsrechnung ernst nimmt, erkennt, dass 2026 das Jahr des Starts ist, nicht 2027. Eine frühe Gap-Analyse, ein belastbarer Meldeprozess vor September 2026 und ein realistischer Projektplan bis zur Vollanwendung verwandeln einen abstrakten Countdown in ein steuerbares Vorhaben. Die Fristen kommen ohnehin. Wer sie kennt und rückwärts plant, entscheidet selbst über das Tempo.
Häufige Fragen (FAQ)
Ab wann gilt der Cyber Resilience Act?
Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten. Er gilt jedoch gestaffelt: Die Regelungen zu notifizierten Stellen greifen ab dem 11. Juni 2026, die Melde- und Berichtspflichten nach Artikel 14 ab dem 11. September 2026 und die vollständigen Produktpflichten ab dem 11. Dezember 2027.
Was passiert am 11. September 2026?
Ab dem 11. September 2026 gelten die Meldepflichten nach Artikel 14. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle binnen 24 Stunden als Frühwarnung an den zuständigen CSIRT und die ENISA melden, gefolgt von einer ausführlicheren Meldung nach 72 Stunden und einem Abschlussbericht. Diese Pflicht gilt auch für bereits im Markt befindliche Produkte.
Muss der Cyber Resilience Act in nationales Recht umgesetzt werden?
Nein. Der Cyber Resilience Act ist eine EU-Verordnung (Verordnung (EU) 2024/2847) und gilt damit in allen Mitgliedstaaten unmittelbar und einheitlich. Eine gesonderte Umsetzung in deutsches Recht ist nicht erforderlich, die Fristen stehen EU-weit fest.
Gilt der CRA auch für Produkte, die schon auf dem Markt sind?
Teilweise. Die grundlegenden Produktanforderungen mit CE-Kennzeichnung greifen für Bestandsprodukte erst, wenn sie nach dem 11. Dezember 2027 eine wesentliche Änderung erfahren. Die Melde- und Berichtspflichten nach Artikel 14 gelten dagegen ab dem 11. September 2026 für alle Produkte im Verkehr, unabhängig vom Zeitpunkt der Markteinführung.
Warum sollte man mit der CRA-Vorbereitung schon 2026 beginnen?
Weil ein Konformitätsprojekt aus Gap-Analyse, Umsetzung von Security by Design, technischer Dokumentation und Konformitätsbewertung realistisch zwölf bis achtzehn Monate dauert. Zieht man diese Dauer vom Stichtag 11. Dezember 2027 ab, liegt der sinnvolle Startpunkt in der ersten Jahreshälfte 2026, zumal die Meldepflicht ohnehin bereits ab September 2026 gilt.
Autor
