Der Cyber Resilience Act (CRA) wird zwar erst Ende 2027 weitgehend verbindlich, seine Meldepflichten gelten jedoch bereits ab dem 11. September 2026. Betroffen sind Hersteller von Produkten mit digitalen Elementen. Sobald sie Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Sicherheit eines solchen Produkts erhalten, müssen sie innerhalb von 24 Stunden eine erste Warnmeldung abgeben. Innerhalb von 72 Stunden folgt eine ausführlichere Meldung mit weiteren Informationen zum betroffenen Produkt, zur Schwachstelle beziehungsweise zum Vorfall sowie zu bereits ergriffenen oder möglichen Gegenmaßnahmen.

Für aktiv ausgenutzte Schwachstellen verlangt der CRA anschließend spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme einen Abschlussbericht. Bei schwerwiegenden Sicherheitsvorfällen beträgt die Frist einen Monat nach der 72-Stunden-Meldung. Nicht jede entdeckte Sicherheitslücke löst damit automatisch eine Meldepflicht aus: Voraussetzung sind belastbare Hinweise auf eine aktive Ausnutzung.

ENISA-Plattform soll zum Stichtag starten

Die Meldungen erfolgen über die von der EU-Agentur ENISA betriebene "Single Reporting Platform" (SRP). Hersteller reichen ihre Meldung dort einmalig ein; adressiert ist sie grundsätzlich an das für ihren Hauptsitz zuständige nationale CSIRT. Die Informationen werden zugleich ENISA und anschließend den weiteren betroffenen CSIRTs zugänglich gemacht. Die Plattform ist derzeit noch nicht öffentlich verfügbar, soll aber spätestens zum 11. September betriebsbereit sein.

Vorbereiten können sich Hersteller dennoch schon jetzt. Insbesondere sollten sie klären, wer einen möglicherweise meldepflichtigen Vorfall bewertet, wie sich betroffene Produkte und Komponenten schnell identifizieren lassen und welche technischen Informationen innerhalb der kurzen Fristen zusammengetragen werden müssen. Die EU-Kommission hat dazu Ende Juli zusätzliche, nicht bindende Leitlinien veröffentlicht, die unter anderem den Anwendungsbereich des CRA und die Meldepflichten näher erläutern.

Keeper Security, Anbieter von Passwort- und Privileged-Access-Management, verweist in diesem Zusammenhang insbesondere auf die Nachvollziehbarkeit privilegierter Zugriffe. Nach Einschätzung des Unternehmens können gemeinsam genutzte Zugangsdaten, fest hinterlegte Secrets und dauerhaft eingerichtete Berechtigungen in Entwicklungs- und CI/CD-Umgebungen die schnelle Aufklärung erschweren. Keeper empfiehlt deshalb, Zugriffe nachvollziehbar zu protokollieren und privilegierte Zugangsdaten kontrolliert zu verwalten.