Geschäftsführung
Sie verantwortet Ressourcen, Rollen und die unternehmerische CRA-Umsetzung. ACM schafft Entscheidungsgrundlagen, priorisiert Handlungsbedarf und macht Risiken transparent.
Cyber Resilience Act
CRA-Meldepflicht gilt seit 11.09.26
Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle fristgerecht über die ENISA Single Reporting Platform (SRP) melden. ACM Consultants klärt Ihre Betroffenheit, strukturiert den 24-/72-Stunden-Prozess und sorgt für eindeutige Verantwortlichkeiten, Meldewege und Nachweise.
- Hersteller-Betroffenheit sicher einordnen
- 24-/72-Stunden-Meldeprozess strukturieren
- Verantwortlichkeiten und Nachweise klären
Einstieg
Cyber Resilience Act für Hersteller sicher einordnen
Der Cyber Resilience Act (CRA) macht Cybersicherheit zu einer verbindlichen Produkteigenschaft. Für Unternehmen reicht es deshalb nicht, einzelne technische Maßnahmen umzusetzen: Produktscope, Rollen, Schwachstellenmanagement und Meldewege müssen über den gesamten Produktlebenszyklus zusammenspielen. ACM Consultants verbindet regulatorische Einordnung mit praxistauglichen Sicherheits- und Prozessstrukturen.
Zielgruppen
Produktmanagement & Entwicklung
Hier laufen Produktportfolio, technische Dokumentation, Entwicklung, Updates und Support zusammen. ACM übersetzt CRA-Anforderungen in belastbare Abläufe für Produkt- und Softwareteams.
IT- & Informationssicherheitsverantwortliche
Sie müssen Schwachstellen und Vorfälle erkennen, bewerten und fristgerecht eskalieren. ACM integriert CRA-Meldewege in vorhandene Incident-, Vulnerability- und Security-Prozesse.
Überblick
Was der Cyber Resilience Act jetzt verlangt
Der CRA gilt für Produkte mit digitalen Elementen, deren vorgesehene oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz umfasst. Die Verordnung ist bereits in Kraft: Die Meldepflichten nach Art. 14 gelten seit 2026-09-11, die meisten übrigen Pflichten ab 2027-12-11. Für Unternehmen entsteht damit schon heute konkreter operativer Handlungsbedarf.
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die Pflicht erfasst nach Art. 69 Abs. 3 auch Produkte, die bereits vor der vollständigen CRA-Anwendung in Verkehr gebracht wurden.
Die Meldung erfolgt über die ENISA Single Reporting Platform: Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden und anschließend ein Abschlussbericht.
Mit der vollständigen Anwendung folgen weitergehende Anforderungen an sichere Produktentwicklung, Schwachstellenbehandlung, Updates, Dokumentation und Konformität. Der aktuelle Meldeprozess sollte deshalb anschlussfähig an die gesamte CRA-Umsetzung sein.
Quick-Check
Ist Ihr Unternehmen vom CRA betroffen?
Der Quick-Check gibt eine erste Orientierung zur möglichen Hersteller-Betroffenheit. Er ersetzt keine rechtliche Prüfung; Produktscope, Wirtschaftsakteursrolle und mögliche Ausnahmen müssen im Einzelfall bewertet werden.
Anforderungen
Was Hersteller für die CRA-Meldepflicht organisieren müssen
Im Ernstfall beginnt die Frist mit der Kenntnis des Herstellers. Meldekriterien, Zuständigkeiten und Informationsflüsse müssen deshalb vorab definiert, dokumentiert und praktisch nutzbar sein.
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen zuverlässig erkannt und anhand klarer Meldekriterien bewertet werden. Hinweise aus Produktentwicklung, Support, Schwachstellenmanagement und Incident Response müssen dafür zusammenlaufen.
Es muss eindeutig geregelt sein, wer einen Sachverhalt bewertet, die Meldeentscheidung trifft, die Meldung abgibt und betroffene Nutzer informiert. Vertretungen und Freigaben dürfen die kurzen Fristen nicht blockieren.
Zugang, zuständiges CSIRT sowie Rollen und Vertretungen in der ENISA Single Reporting Platform müssen vor dem Ernstfall geklärt sein. Der technische Zugang allein ersetzt keinen abgestimmten internen Prozess.
Innerhalb von 24 Stunden ist eine Frühwarnung abzugeben; innerhalb von 72 Stunden folgt die vollständige Meldung mit den zu diesem Zeitpunkt verfügbaren Angaben zum Produkt, Sachverhalt und zu möglichen Gegenmaßnahmen.
Bei aktiv ausgenutzten Schwachstellen ist der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme fällig, bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung. Betroffene Nutzer sind zusätzlich angemessen zu informieren.
Bewertungen, Entscheidungen, Meldungen und Maßnahmen müssen nachvollziehbar dokumentiert werden. Überschneidungen mit NIS-2, DSGVO und sektorspezifischen Pflichten sollten in einem abgestimmten Ablauf berücksichtigt werden.
Herausforderungen
Typische Ausgangslagen - strukturiert lösbar
Die größte Hürde ist selten eine einzelne CRA-Vorgabe. Kritisch wird das Zusammenspiel aus Produktwissen, Security, Recht und knappen Fristen. Diese Ausgangslagen lassen sich mit klaren Entscheidungen und vorbereiteten Abläufen beherrschbar machen.
Lösung
CRA-Umsetzung, die im Ernstfall funktioniert
ACM Consultants verbindet regulatorische Einordnung mit Informationssicherheit und praxistauglicher Prozessgestaltung. Sie erhalten keine isolierte Gesetzesauslegung, sondern klare Zuständigkeiten, umsetzbare Abläufe und nachvollziehbare Nachweise.
Scope & Betroffenheit
Produkte, Marktrollen, Ausnahmen und Bestandsprodukte systematisch einordnen.
Ergebnis: dokumentierter Produktscope und priorisierter Handlungsbedarf.
Meldeprozess
Meldekriterien, Verantwortlichkeiten, Eskalationen, Vorlagen und SRP-Ablauf definieren.
Ergebnis: praxistauglicher 24-/72-Stunden-Prozess.
Integration & Nachweise
CRA in Incident-, Vulnerability-, Produkt- und Compliance-Prozesse integrieren und Schnittstellen zu NIS-2 und DSGVO klären.
Ergebnis: konsistente Abläufe und nachvollziehbare Dokumentation.
Begleitung & Wirksamkeit
Umsetzung begleiten, Beteiligte befähigen und den Meldeprozess anhand eines realistischen Szenarios prüfen.
Ergebnis: erprobter Prozess mit konkreten Verbesserungsmaßnahmen.
Top-Consultants
In allen Beratungsthemen kann sowohl das Leistungsportfolio als auch die langjährige Expertise der ACM vollkommen überzeugen. Mit dem breit gefächerten Know-how im IT-Bereich bietet ACM professionelle Lösungen für individuelle Anforderungen. Inhouse oder Remote - ganz nach Kundenwunsch.
Vorgehen
In vier Schritten zu belastbaren CRA-Prozessen
Wir starten mit der Betroffenheit und dem aktuell dringlichsten Meldeprozess. Darauf aufbauend werden vorhandene Strukturen genutzt, Lücken geschlossen und der Ablauf praktisch erprobt.
Quick-Check & Scope
Erste Einordnung von Produkten, Marktrollen, möglichen Ausnahmen und akutem Handlungsbedarf.
Analyse
Bewertung vorhandener Incident-, Vulnerability-, Produkt- und Meldeprozesse sowie Identifikation konkreter Lücken.
Umsetzung
Definition von Meldekriterien, Verantwortlichkeiten, Eskalationswegen, Vorlagen, SRP-Rollen und erforderlichen Nachweisen.
Praxistest & Verbesserung
Durchspielen eines realistischen Meldefalls, Prüfung des 24-/72-Stunden-Ablaufs und gezielte Nachbesserung.
Use Cases
CRA-Wissen kompakt für die Praxis
Die ACM-Fachinformation fasst Meldepflicht, Fristen, Meldeweg und erste Vorbereitungsschritte für Hersteller kompakt zusammen.
Hersteller / Produktunternehmen
CRA-Meldepflicht: Handeln seit 2026-09-11
Kompakter Überblick zu Art. 14 CRA, 24-/72-Stunden-Fristen, Abschlussbericht, Nutzerinformation, Single Reporting Platform und vorbereitenden Maßnahmen.
FAQ
Häufige Fragen zum Cyber Resilience Act
Direkte Antworten zu Anwendungsbereich, Meldepflicht, Fristen und Abgrenzung des Cyber Resilience Act.
Der Cyber Resilience Act (CRA) ist eine unmittelbar geltende EU-Verordnung für die Cybersicherheit von Produkten mit digitalen Elementen. Er verpflichtet Hersteller unter anderem zu sicheren Produkten, einem geregelten Umgang mit Schwachstellen und - seit Inkrafttreten der Meldepflicht - zur Meldung bestimmter Schwachstellen und Sicherheitsvorfälle.
Im Mittelpunkt stehen Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen. Auch Importeure und Händler haben eigene Prüf- und Handlungspflichten; sie können insbesondere dann als Hersteller gelten, wenn sie ein Produkt unter eigenem Namen oder eigener Marke anbieten oder wesentlich verändern.
Dazu zählen Hardware- und Softwareprodukte, deren vorgesehene oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz umfasst. Ob der CRA gilt, hängt zusätzlich von der konkreten Marktrolle und möglichen gesetzlichen Ausnahmen ab.
Hersteller müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden, die sich auf die Sicherheit eines Produkts mit digitalen Elementen auswirken. Maßgeblich ist, wann der Hersteller von dem meldepflichtigen Sachverhalt Kenntnis erlangt.
Die Frühwarnung ist innerhalb von 24 Stunden nach Kenntnis abzugeben, die vollständige Meldung innerhalb von 72 Stunden. Danach folgt ein Abschlussbericht; die Information betroffener Nutzer ist eine zusätzliche Pflicht und kein vierter Teil der Behördenmeldung.
Ja. Die Meldepflicht nach Art. 14 gilt nach Art. 69 Abs. 3 auch für Produkte im Anwendungsbereich des CRA, die vor der vollständigen Anwendung der Verordnung in Verkehr gebracht wurden. Die weitergehenden Produkt- und Konformitätspflichten sind davon getrennt zu beurteilen.
Die Single Reporting Platform (SRP) ist die zentrale, von ENISA betriebene Online-Plattform für CRA-Meldungen. Hersteller übermitteln dort ihre Meldung einmalig an das zuständige CSIRT; intern müssen Zugang, Rollen und Vertretungen vor einem Ernstfall geklärt sein.
Der CRA adressiert vor allem die Cybersicherheit von Produkten mit digitalen Elementen und deren Lebenszyklus. NIS-2 richtet sich primär an bestimmte Einrichtungen und deren organisatorisches Cybersicherheits- und Risikomanagement. In einem Vorfall können beide Regelwerke sowie die DSGVO parallel relevant sein.
Kontakt
CRA-Betroffenheit klären und Meldeprozesse belastbar aufstellen
Sie möchten wissen, welche Produkte betroffen sind oder ob Ihr 24-/72-Stunden-Prozess im Ernstfall funktioniert? ACM Consultants unterstützt Sie von der Einordnung bis zur praxistauglichen Umsetzung.
Kontakt aufnehmen
Oder Sie möchten uns direkt anrufen
Bei uns stehen Sie im Mittelpunkt!
Wir beraten Sie zu umfassend zu vielen verschiendenen Themen, identifizieren den Status Quo Ihres Unternehmens und erstellen individuelle, zielführende Handlungskonzepte. Diese setzen wir gerne für Sie in die Tat um, unterstützen aber auch in Konstellationen mit anderen Dienstleistern – eben genau so, wie es Ihre Anforderungen optimal bedient.