Die kurze Antwort
Die erste operative Pflicht des CRA gilt jetzt: die Meldung. Wenn Sie von einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt oder einem schwerwiegenden Vorfall erfahren, der seine Sicherheit betrifft, müssen Sie innerhalb enger Fristen ENISA und das zuständige nationale CSIRT über die Single Reporting Platform informieren.
Die meisten übrigen Pflichten - Security-by-Design-Anforderungen, SBOM, Schwachstellenbehandlung und CE-Kennzeichnung nach dem CRA - gelten ab dem 11. Dezember 2027.
Die Fristen
- Frühwarnung: innerhalb von 24 Stunden nach Kenntnisnahme.
- Ausführliche Meldung: innerhalb von 72 Stunden.
- Abschlussbericht: bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur oder Abhilfemaßnahme; bei Vorfällen spätestens einen Monat nach der Meldung.
Auch Produkte im Markt sind betroffen
Die Meldepflicht umfasst Produkte, die vor dem 11. September 2026 in Verkehr gebracht wurden. Für viele Hersteller brauchen ältere Produktlinien damit zum ersten Mal einen definierten Prozess für Sicherheitsvorfälle.
Sanktionen
Verstöße gegen die Meldepflichten können mit Bußgeldern von bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Was Embedded-Teams jetzt tun sollten
- Einen Sicherheitskontakt und eine kurze Richtlinie zur Offenlegung von Schwachstellen veröffentlichen.
- Festlegen, wer die 24-Stunden-Frühwarnung abgibt, und Vorlagen für die 72-Stunden-Meldung vorbereiten.
- Wissen, welche Firmware-Versionen im Feld sind und welche Komponenten sie enthalten (SBOM).
- Prüfen, ob sich ein signiertes Update an bereits installierte Geräte ausliefern lässt.
Nächste Schritte
Unsere kostenlose CRA-Engineering-Checkliste übersetzt diese Pflichten in konkrete technische Prüfpunkte. Wenn Sie eine Sicht von außen möchten, buchen Sie eine CRA-Gap-Analyse.
Dieser Artikel beschreibt technische Auswirkungen. Er stellt keine Rechtsberatung dar.