Cyber Resilience Act: Die Meldepflicht gilt — betrifft sie Ihre Software?

Am 11. September 2026 ist ohne großes Aufsehen eine Pflicht in Kraft getreten, die deutlich mehr Unternehmen betrifft, als es sich bisher bewusst sind. Seit diesem Tag müssen Hersteller von Software, Apps und vernetzten Geräten dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und der EU-Cybersicherheitsagentur ENISA melden, wenn eine Schwachstelle in ihrem Produkt aktiv ausgenutzt wird — die erste Warnung innerhalb von 24 Stunden.

Grundlage ist der Cyber Resilience Act, kurz CRA — die Verordnung (EU) 2024/2847. Die meisten seiner Pflichten gelten erst ab Dezember 2027, und genau deshalb ist er bei vielen im Kalender noch weit weg. Die Meldepflicht aber gilt jetzt. Und sie gilt nicht nur für neue Produkte, sondern auch für alles, was bereits auf dem Markt ist.

Die entscheidende Frage für die meisten Mittelständler ist dabei nicht, wie man meldet, sondern ob man überhaupt Hersteller ist. Die Antwort hängt an Details, die man nicht vermuten würde: Eine App im Store fällt darunter, das SaaS im Browser nicht. Dieser Artikel sortiert, was gilt, wen es trifft — und an welcher Stelle die Rechtslage noch offen ist.

Der Fahrplan: was ab wann gilt

Der CRA ist eine Verordnung und gilt deshalb unmittelbar, ohne nationales Umsetzungsgesetz. Seine Pflichten greifen in Stufen:

Das deutsche Durchführungsgesetz, das unter anderem die Marktüberwachung beim BSI ansiedeln soll, ist noch nicht verabschiedet. An der Meldepflicht ändert das nichts: Sie folgt direkt aus der Verordnung, und die Meldestelle steht bereits.

Was gemeldet werden muss — und wie schnell

Meldepflichtig sind zwei Dinge: eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt und ein schwerwiegender Sicherheitsvorfall, der die Sicherheit Ihres Produkts beeinträchtigt. Eine Lücke, die Sie selbst finden oder die Ihnen gemeldet wird, ohne dass es Hinweise auf eine Ausnutzung gibt, ist nicht meldepflichtig — freiwillig melden dürfen Sie sie trotzdem. Die Meldung läuft in drei Stufen:

Gemeldet wird über die Single Reporting Platform der ENISA. Die Meldung geht von dort gleichzeitig an die ENISA und an das zuständige nationale Computer-Notfallteam — in Deutschland das CERT-Bund im BSI. Eine vorherige Registrierung ist laut BSI nicht nötig. Das klingt entspannt, verschiebt die Arbeit aber nur: Wer erst im Ernstfall herausfindet, wie die Plattform funktioniert und wer im Haus zuständig ist, hat einen Teil seiner 24 Stunden schon verbraucht.

Mit der Meldung ist es nicht getan. Der Hersteller muss auch die betroffenen Nutzer informieren, wenn nötig alle, und ihnen sagen, was sie zur Abhilfe tun können. Tut er es nicht, darf die Behörde das übernehmen — keine Situation, in der ein Hersteller seine Kunden erreichen möchte.

Sind Sie Hersteller? Sechs typische Fälle

Der CRA gilt für „Produkte mit digitalen Elementen", die im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt werden — ausdrücklich gleichgültig, ob gegen Geld oder kostenlos. Hersteller ist, wer ein solches Produkt entwickelt oder entwickeln lässt und es unter eigenem Namen vermarktet. So sortieren sich die Fälle, die mir im Mittelstand am häufigsten begegnen:

Der Fall, der am meisten überrascht, ist das SaaS. Die Kommission stellt in ihren FAQ klar: Eigenständige Software-as-a-Service und Websites, die nicht die Funktion eines Produkts unterstützen, sind selbst keine Produkte mit digitalen Elementen. Die Grenze verläuft bei der Datenfernverarbeitung. Ist Ihr Cloud-Dienst das Backend einer App oder die Plattform hinter einem Gerät — also etwas, ohne das das Produkt eine seiner Funktionen nicht erfüllen kann —, gehört er zum Produkt und fällt mit darunter. Wer eine Web-Anwendung betreibt und zusätzlich eine App dazu anbietet, sollte genau hinschauen: Die App zieht dann das Backend in den Anwendungsbereich. Mehr zur Architektur solcher Plattformen steht auf der Seite zur SaaS-Entwicklung.

Ausgenommen sind außerdem Bereiche mit eigenen Regeln — Medizinprodukte, Kraftfahrzeuge, zertifizierte Luftfahrtprodukte, Schiffsausrüstung — sowie nicht kommerzielle Open-Source-Software. Wer Open Source in einem eigenen kommerziellen Produkt einsetzt, bleibt dagegen für das Gesamtprodukt verantwortlich.

Auch Software von 2019 zählt

Ein Detail, das in vielen Zusammenfassungen fehlt: Die übrigen CRA-Pflichten gelten für Altprodukte erst dann, wenn diese nach dem 11. Dezember 2027 wesentlich geändert werden. Die Meldepflicht dagegen gilt nach Art. 69 Abs. 3 für alle Produkte im Anwendungsbereich — auch für die, die lange vor 2027 in Verkehr gebracht wurden. Die Kommission bestätigt das in ihren FAQ ausdrücklich.

Für die Praxis heißt das: Die Branchensoftware, die Sie seit sieben Jahren an Kunden ausliefern, die App aus dem Jahr 2021, die Steuerung in Maschinen, die seit Jahren im Feld stehen — für all das müssen Sie seit dem 11. September melden, wenn eine Lücke aktiv ausgenutzt wird. Gerade bei alten Codeständen ist das die eigentliche Herausforderung: Wer nicht mehr weiß, welche Bibliotheken in welcher Version darin stecken, kann eine neue Lücke nicht zuordnen.

Beauftragte Software: wer meldet, wenn der Entwickler extern ist?

Für Unternehmen, die sich Software bauen lassen, ist das der interessanteste Teil — und der, an dem ich als Entwickler selbst betroffen bin. Zwei Konstellationen sind klar, eine ist offen.

Klar ist erstens: Wer eine Software entwickeln lässt und sie unter eigenem Namen an seine Kunden vertreibt, ist Hersteller. Die Definition in Art. 3 Nr. 13 nennt ausdrücklich auch den, der entwickeln lässt. Die Meldepflicht liegt dann bei Ihnen, nicht bei Ihrem Dienstleister — auch wenn Sie die Lücke ohne ihn weder verstehen noch schließen können. Genau deshalb gehört in solche Verträge, wer Schwachstellen überwacht und in welcher Zeit er reagiert.

Klar ist zweitens: Was ein Unternehmen für den eigenen Gebrauch herstellt, bringt es nicht in Verkehr. Das interne Werkzeug, das die eigene IT-Abteilung gebaut hat, fällt nicht unter den CRA.

Offen ist die Mitte: Ein externer Entwickler baut eine Anwendung exakt für einen Kunden, und der nutzt sie ausschließlich intern. Die Kommission behandelt solche „maßgeschneiderten" Produkte nicht als Ausnahme, sondern erlaubt nur, bei zwei Anforderungen vertraglich abzuweichen: bei der sicheren Standardkonfiguration und bei kostenlosen Sicherheitsupdates — beides nur mit ausdrücklicher Vereinbarung und dokumentiert. Das spricht dafür, dass auch Auftragsentwicklung grundsätzlich erfasst sein kann, sofern es sich um ein Produkt mit digitalen Elementen handelt. Eine ausdrückliche Klarstellung für die rein interne Nutzung gibt es bisher nicht.

Mein pragmatischer Rat für beide Seiten: Nicht auf die Klarstellung warten, sondern im Vertrag regeln, wer Schwachstellen beobachtet, wer im Ernstfall meldet und wie Updates geliefert und bezahlt werden. Das ist ohnehin gute Praxis, und die meisten Projekte, die ich baue, sind Web-Anwendungen — die bei reiner Browser-Nutzung nach heutigem Stand gar nicht unter den CRA fallen. Wer eine Individualsoftware entwickeln lassen will, sollte die Frage nach Updates und Sicherheitsmeldungen trotzdem in jedes Angebotsgespräch mitnehmen.

Was bei Verstößen droht

Die Bußgelder sind empfindlich. Für Verstöße gegen die grundlegenden Sicherheitsanforderungen und gegen die Meldepflicht sind bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist. Die Behörden müssen dabei die Größe des Unternehmens berücksichtigen.

Eine Entlastung gibt es für kleine Unternehmen: Kleinst- und Kleinunternehmen — also unter 50 Beschäftigten und höchstens 10 Mio. Euro Umsatz oder Bilanzsumme — erhalten kein Bußgeld, wenn sie die 24-Stunden-Frist für die Frühwarnung verpassen. Das gilt ausdrücklich nur für diese erste Stufe. Die 72-Stunden-Meldung und der Abschlussbericht bleiben verpflichtend, und die Pflicht, die eigenen Kunden zu informieren, auch.

5 Schritte, die Sie jetzt erledigen sollten

Die Meldepflicht verlangt keine Zertifizierung und kein großes Projekt. Sie verlangt, dass im Ernstfall klar ist, wer was tut. Diese fünf Schritte decken das ab — und bereiten gleichzeitig auf Dezember 2027 vor:

Schritt 3 ist der, der am meisten Zeit spart. Wenn morgen eine Lücke in einer weit verbreiteten Bibliothek bekannt wird, ist die erste Frage immer dieselbe: Steckt die bei uns drin, und in welcher Version? Mit einer aktuellen Stückliste ist das eine Suche. Ohne sie ist es ein Nachmittag im Quellcode — bei Software, deren Entwickler vielleicht nicht mehr erreichbar ist, auch mehr. Wie das mit sauber dokumentierten Schnittstellen zusammenhängt, zeigt sich spätestens dann: Jede Anbindung an ein Fremdsystem ist auch eine Abhängigkeit, die in die Liste gehört.

Fazit: Erst klären, ob Sie betroffen sind — dann eine Seite Papier

Der Cyber Resilience Act wird oft als Thema für Hardware-Konzerne und große Softwarehäuser gelesen. Die Meldepflicht zeigt, dass das nicht stimmt: Sie trifft jeden, der eine App, eine installierbare Software oder ein vernetztes Gerät geschäftlich bereitstellt, und sie trifft ihn auch für Produkte, die längst im Markt sind. Umgekehrt ist der Kreis kleiner, als viele befürchten — wer ausschließlich Web-Anwendungen im Browser betreibt oder Software nur intern nutzt, ist beim CRA nicht dabei.

Für die meisten Unternehmen ist der Aufwand deshalb überschaubar: eine Stunde für die Frage, welche Produkte betroffen sind, und eine Seite Papier dafür, wer im Ernstfall meldet. Der Rest — Stückliste, Update-Prozess, saubere Verträge — ist Arbeit, die spätestens bis Dezember 2027 ohnehin ansteht.

Wenn Sie wissen wollen, wie Ihre eigene Software technisch einzuordnen ist — installiert oder Web, mit oder ohne Datenfernverarbeitung, welche Komponenten darin stecken —, schauen wir uns das gerne gemeinsam an. Die rechtliche Bewertung gehört danach zu Ihrem Anwalt; die technische Grundlage dafür kann ich liefern. Schreiben Sie mir über die Kontaktseite.

Häufig gestellte Fragen zum Cyber Resilience Act

Ab wann gilt die Meldepflicht des Cyber Resilience Act?

Seit dem 11. September 2026. Ab diesem Tag müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die übrigen Pflichten des CRA — etwa die grundlegenden Sicherheitsanforderungen, die CE-Kennzeichnung und die technische Dokumentation — gelten erst ab dem 11. Dezember 2027. Die Meldepflicht ist also der Teil, der schon jetzt greift.

Gilt die Meldepflicht auch für Software, die schon vor 2027 verkauft wurde?

Ja. Nach Art. 69 Abs. 3 der Verordnung gilt die Meldepflicht für alle Produkte im Anwendungsbereich, auch für solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Die übrigen Anforderungen greifen bei diesen Altprodukten erst, wenn sie wesentlich geändert werden. Wer eine App oder Software seit Jahren im Markt hat, ist beim Melden also bereits heute dabei.

Fällt unser SaaS unter den Cyber Resilience Act?

Eigenständiges SaaS, das nur im Browser läuft, ist nach den FAQ der EU-Kommission kein Produkt mit digitalen Elementen und fällt damit nicht unter den CRA — für solche Dienste ist die NIS2-Richtlinie der Rahmen. Anders ist es, wenn der Cloud-Dienst die Datenfernverarbeitung eines Produkts ist, also etwa das Backend Ihrer App oder die Cloud hinter einem Gerät. Dann gehört er zum Produkt und fällt mit darunter.

Wir lassen uns Software entwickeln — wer ist dann Hersteller?

Hersteller ist, wer ein Produkt entwickelt oder entwickeln lässt und es unter eigenem Namen vermarktet. Vertreiben Sie die beauftragte Software an Ihre Kunden, sind Sie der Hersteller, nicht Ihr Dienstleister. Nutzen Sie sie nur intern, ist die Lage weniger eindeutig: Eigenentwicklung für den eigenen Gebrauch fällt nicht unter den CRA, für die Auftragsentwicklung zur reinen internen Nutzung gibt es bislang keine ausdrückliche Klarstellung. Regeln Sie Update- und Meldewege deshalb in jedem Fall im Vertrag.

Was droht, wenn wir eine Meldung versäumen?

Verstöße gegen die Meldepflicht können mit bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Die Größe des Unternehmens wird bei der Bemessung berücksichtigt. Kleinst- und Kleinunternehmen erhalten für das Versäumen der 24-Stunden-Frist für die Frühwarnung kein Bußgeld — die 72-Stunden-Meldung und der Abschlussbericht sind davon aber nicht ausgenommen.

Muss ich mich vorab auf der Meldeplattform registrieren?

Nein. Laut BSI ist eine vorherige Registrierung auf der Single Reporting Platform der ENISA nicht erforderlich; Registrierung und Meldung sind bei Bedarf in wenigen Minuten erledigt. Sinnvoll ist trotzdem, vorher festzulegen, wer im Ernstfall meldet und wer die Kunden informiert — die 24 Stunden laufen ab dem Moment, in dem Sie von der Ausnutzung erfahren, nicht ab Montagmorgen.

Hinweis: Dieser Artikel gibt den Stand vom 28. September 2026 wieder und stützt sich auf den Verordnungstext (EU) 2024/2847, die FAQ der EU-Kommission zur CRA-Umsetzung (Stand 4. September 2026) und die Informationen des BSI. Er ersetzt keine Rechtsberatung. Ob Ihr konkretes Produkt unter den CRA fällt, klären Sie im Zweifel mit einem auf IT-Recht spezialisierten Anwalt.