Schwachstellenmanagement nach Cyber Resilience Act: Was Hersteller jetzt wissen und umsetzen müssen

Mit dem Cyber Resilience Act (CRA) der EU treten ab dem 11. September 2026 neue Meldepflichten für Hersteller von digitalen vernetzten Produkten in Kraft. Ab diesem Stichtag müssen Hersteller Schwachstellen, die in Produkten entdeckt werden, innerhalb von 24 Stunden an die Europäische Agentur für Cybersicherheit (ENISA) gemeldet werden – inklusive Angaben zu betroffenen Produkten, Art und Schwere der Schwachstelle sowie Maßnahmen zur Behebung. Die Meldungen werden von ENISA gesammelt und öffentlich einsehbar gemacht. Einträge bleiben dauerhaft sichtbar und können zu Reputationsrisiken führen, wenn ein Unternehmen wiederholt gelistet wird.

Die neuen Anforderungen zielen darauf ab, die Cybersicherheit entlang der gesamten Lieferkette zu stärken und einheitliche, nachvollziehbare Prozesse für das Management von Schwachstellen zu etablieren. Bislang konnten Hersteller eigenverantwortlich und ohne feste Fristen auf entdeckte Schwachstellen reagieren. Mit dem CRA wird nun ein verbindlicher, transparenter Rahmen geschaffen, der auch die Verantwortung für zugekaufte Komponenten und Software einschließt.

Die Meldepflicht gilt für alle Hersteller, die digitale Produkte mit vernetzten Komponenten in Verkehr bringen – von Konsumgütern wie Staubsaugern, Kühlschränken oder Fahrradcomputern mit Bluetooth-Schnittstelle bis hin zu industriellen Maschinen und sicherheitsrelevanter Sensorik. Auch Produkte mit zugekauften Software- oder Hardware-Komponenten sind betroffen. Entscheidend ist, dass das Produkt unter den Geltungsbereich des CRA fällt.

Im Falle einer entdeckten Schwachstelle sind innerhalb von 24 Stunden folgende Informationen an ENISA zu übermitteln:

• Beschreibung der Schwachstelle
• Betroffene Produkte und Versionen
• Einschätzung der Schwere und potenziellen Auswirkungen (Risikobewertung)
• Bereits getroffene oder geplante Maßnahmen zur Behebung

Die Meldung muss auch dann erfolgen, wenn die Schwachstelle in einer zugekauften Komponente liegt, die im eigenen Produkt verbaut ist.

Werden Schwachstellen nicht fristgerecht gemeldet oder unzureichend behandelt, drohen empfindliche Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Zusätzlich kann die dauerhafte öffentliche Listung bei ENISA zu erheblichen Reputationsschäden führen.

• Proaktives Schwachstellenmanagement: Hersteller müssen kontinuierlich überwachen, ob Schwachstellen in eigenen oder zugekauften Komponenten auftreten. Ein reaktives Vorgehen reicht nicht mehr aus
• Klare Verantwortlichkeiten: Es ist eine Koordinationsfunktion im Unternehmen erforderlich, die das Schwachstellenmanagement steuert und die Einhaltung der Meldepflichten sicherstellt
• Strukturierte Prozesse: Hersteller benötigen ein dokumentiertes Schwachstellenmanagementsystem, das Identifikation, Bewertung, Behandlung und Meldung von Schwachstellen abbildet – inklusive Vertretungsregelungen und klaren Zuständigkeiten
• Integration in bestehende Managementsysteme: Ein zertifiziertes Managementsystem nach ISO/IEC 27001 oder IEC 62443-4-1 bietet eine gute Grundlage, muss aber um die spezifischen Anforderungen des CRA ergänzt werden (beispielsweise 24-Stunden-Frist, Meldeweg an ENISA)

• Prozesse und Zuständigkeiten prüfen: Bestehende Prozesse für Schwachstellenmanagement und Incident Response sollten auf Lücken gegenüber den CRA-Anforderungen überprüft und angepasst werden
• Asset- und Supplier-Management stärken: Eine vollständige Übersicht über alle eingesetzten Komponenten und Lieferanten ist essenziell, um Schwachstellen schnell zu erkennen, zuzuordnen und Abhilfe zu schaffen
• Assessment durch unabhängige Dritte: Ein externes Assessment durch TÜV NORD hilft dabei, die Wirksamkeit der Prozesse zu bewerten und Verbesserungsbedarf zu identifizieren. Bis zur offiziellen Einführung harmonisierter Normen erhalten Unternehmen einen detaillierten Prüfbericht als Nachweis – ein offizielles Zertifikat ist erst ab Dezember 2027 möglich

Die Zeit bis zum Inkrafttreten der Meldepflicht ist knapp. Unternehmen, die noch keine entsprechenden Prozesse etabliert haben, sollten umgehend handeln.

Die Anforderungen gelten auch für kleine und mittlere Unternehmen und können dort zu erheblichen Ressourcenengpässen führen.

Unterschiedliche Anbieter von Assessments können derzeit unterschiedliche Schwerpunkte setzen, da noch keine endgültige Norm veröffentlicht ist. Orientierung bieten die von ENISA angekündigten harmonisierten Standards.

TÜV NORD verfügt über jahrzehntelange Erfahrung und Expertise in der Prüfung und Zertifizierung von Cybersecurity-relevanten Prozessen und Produkten. Rund 70 Spezialistinnen und Spezialisten – davon über 40 in Deutschland – unterstützen Hersteller bei der Bewertung und Weiterentwicklung ihrer Schwachstellenmanagement-Prozesse.

Mit dem Cyber Resilience Act wird das Schwachstellenmanagement für Hersteller digitaler Produkte zur Pflicht und zum Wettbewerbsfaktor. Wer jetzt handelt, sichert nicht nur die eigene Compliance, sondern schützt auch Reputation und Marktposition und beugt finanziellen Risiken vor.