Blog · 10. Oktober 2026
Seit 11. September: Die 24-Stunden-Meldepflicht für Hersteller vernetzter Produkte
Freitagabend, 18 Uhr: Ein Kunde meldet, dass über die Fernwartungsschnittstelle Ihrer Steuerung fremde Zugriffe laufen. Seit dem 11. September 2026 tickt ab diesem Moment eine 24-Stunden-Uhr, und die Meldung geht nicht an die Datenschutzaufsicht, sondern an das BSI und die ENISA. Viele Hersteller in der Region wissen das noch nicht.
Ein Maschinenbauer mit 80 Mitarbeitern liefert Anlagen mit Fernwartungsmodul aus. Ein Elektrobetrieb vertreibt eigene smarte Zähler. Ein Softwarehaus aus dem Raum Reutlingen verkauft eine Praxissoftware als Installationspaket. Alle drei sind „Hersteller von Produkten mit digitalen Elementen“ im Sinne des Cyber Resilience Act (CRA). Und für alle drei gilt seit dem 11. September 2026 eine Pflicht, die es vorher so nicht gab.
Was seit dem 11. September gilt
Wird eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt, also tatsächlich angegriffen und nicht nur theoretisch denkbar, oder gibt es einen schwerwiegenden Sicherheitsvorfall, der die Sicherheit Ihres Produkts beeinträchtigt, müssen Sie das melden. Und zwar in drei Stufen.
Innerhalb von 24 Stunden, nachdem Sie davon erfahren haben: eine Frühwarnung.
Innerhalb von 72 Stunden: die eigentliche Meldung mit ersten Einschätzungen und ergriffenen Gegenmaßnahmen.
Der Abschlussbericht: bei Schwachstellen spätestens 14 Tage, nachdem ein Patch oder eine Abhilfe verfügbar ist, bei schweren Vorfällen innerhalb eines Monats nach der Meldung.
Gemeldet wird über die Single Reporting Platform der ENISA. Eine Meldung dort erreicht automatisch das zuständige nationale CSIRT, in Deutschland das BSI, und die ENISA. Zusätzlich müssen Sie betroffene Nutzer informieren und ihnen sagen, was sie tun können.
Wichtig und oft übersehen: Die Meldepflicht gilt auch für Produkte, die Sie schon vor Jahren in Verkehr gebracht haben. Nicht rückwirkend für alte Vorfälle, aber für alles, was Ihnen ab dem 11. September bekannt wird.
Was erst ab Dezember 2027 gilt
Die großen Pflichten des CRA kommen erst ab dem 11. Dezember 2027: Security by Design nach den grundlegenden Anforderungen, Risikobewertung, Schwachstellenmanagement über den gesamten Supportzeitraum, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung auch für die Cybersicherheit. Wer heute entwickelt, sollte das trotzdem schon einplanen, denn Produkte, die Ende 2027 noch neu auf den Markt kommen, entstehen jetzt.
Eine Abgrenzung für Software-Anbieter: Reine Cloud-Dienste (SaaS) fallen nach meinem Kenntnisstand grundsätzlich nicht unter den CRA, sondern unter NIS2. Anders ist es bei Software, die Sie ausliefern oder zum Download anbieten, und bei Cloud-Funktionen, ohne die Ihr Produkt nicht funktioniert.
Was das mit Datenschutz zu tun hat
Mehr, als man denkt. Wird eine Schwachstelle in Ihrer Steuerung oder Software ausgenutzt, sind häufig auch personenbezogene Daten betroffen: Kundenkonten, Bedienerprotokolle, Patientendaten beim Kunden. Dann laufen zwei Uhren parallel. Die CRA-Meldung an BSI und ENISA, und als Verantwortlicher für Ihre eigenen Daten die 72-Stunden-Meldung einer Datenpanne nach Art. 33 DSGVO an die Datenschutzaufsicht. Das sind verschiedene Empfänger mit verschiedenen Formularen. Eine Meldung ersetzt die andere nicht.
Dazu kommt Art. 25 DSGVO, Datenschutz durch Technikgestaltung. Ihre Kunden, die Ihr Produkt einsetzen, müssen das nachweisen und fragen deshalb immer öfter nach: Welche Daten speichert die Anlage? Wie werden Updates eingespielt? Wer hat Fernzugriff? Wer dafür heute schon saubere Antworten hat, ist beim CRA ab 2027 deutlich weiter.
Was Sie jetzt konkret tun
Klären Sie, ob Sie Hersteller im Sinne des CRA sind. Auch wer Komponenten zukauft und unter eigenem Namen verkauft, ist Hersteller.
Legen Sie fest, wer im Betrieb Sicherheitsmeldungen entgegennimmt, auch außerhalb der Bürozeiten. Eine Sicherheitskontaktadresse auf der Website ist ein einfacher Anfang.
Schreiben Sie einen einseitigen Meldeablauf: wer entscheidet, wer meldet bei der ENISA-Plattform, wer prüft parallel die Datenpanne nach DSGVO, wer informiert Kunden.
Registrieren Sie sich vorab auf der Plattform, statt im Ernstfall zum ersten Mal hinzuschauen.
Panik ist nicht angebracht: Gemeldet werden muss nicht jeder Bug, sondern aktiv ausgenutzte Schwachstellen und schwere Vorfälle. Bei Verstößen gegen die Herstellerpflichten sieht der CRA allerdings Bußgelder vor, und ein verschlafener Vorfall wiegt schwerer als eine ehrliche, frühe Meldung.
Fazit
Der Cyber Resilience Act ist kein Thema für 2027, die Meldepflicht läuft seit dem 11. September. Für Hersteller in Maschinenbau, Elektro und Software heißt das: Zuständigkeit klären, Meldeweg festlegen und mit dem Datenschutz-Notfallplan verzahnen. Das ist an einem Nachmittag aufgesetzt, wenn man weiß, wie. Wenn Sie den Meldeablauf für Ihren Betrieb gemeinsam durchgehen möchten: Das Erstgespräch bei mir ist kostenlos und unverbindlich.
Stand: Oktober 2026.