Der EU Cyber Resilience Act (CRA) rückt näher. Während die vollständige Umsetzungspflicht erst 2027 greift, treten die Meldepflichten für aktiv ausgenutzte Schwachstellen bereits ab September 2026 in Kraft. Für viele Hersteller von Produkten mit eingebetteter Software bedeutet das: Es bleiben nur noch sechs Monate, um die nötigen Prozesse aufzubauen.
Was ab September 2026 gilt
Hersteller müssen aktiv ausgenutzte Schwachstellen in ihren Produkten innerhalb von 24 Stunden an die ENISA melden. Innerhalb von 72 Stunden folgt ein detaillierterer Bericht, und nach 14 Tagen eine vollständige Analyse mit Abhilfemaßnahmen.
Was das konkret bedeutet
- Schwachstellenmanagement: Sie brauchen ein kontinuierliches CVE-Monitoring für alle Software-Komponenten Ihrer Produkte
- SBOM als Grundlage: Ohne eine aktuelle Software Bill of Materials wissen Sie nicht, welche Komponenten betroffen sind
- Prozesse und Zuständigkeiten: Wer meldet? An wen? In welchem Format? Diese Fragen müssen jetzt geklärt werden
- Technische Infrastruktur: Automatisierte Alerts und vorbereitete Meldeformulare sparen im Ernstfall wertvolle Stunden
Die vollständige CRA-Pflicht ab 2027
Ab 2027 kommen weitere Anforderungen hinzu: Security by Design, vollständige technische Dokumentation, sichere Update-Mechanismen und die Pflicht zur Konformitätsbewertung. Wer nicht compliant ist, darf seine Produkte nicht mehr in der EU verkaufen – bei Bußgeldern bis zu 15 Mio. EUR.
Unser Angebot
proofnet unterstützt Hersteller mit einem ganzheitlichen CRA-Compliance-Paket: automatisierte Firmware-Analyse, SBOM-Generierung, kontinuierliches CVE-Monitoring und fertige Compliance-Reports. Mehr erfahren oder direkt eine kostenlose CRA-Erstanalyse anfordern.