DigitalisierungMeldung
CRA-Meldepflicht für Hersteller seit 11. September 2026
Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen auf dem EU-Binnenmarkt aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an das BSI melden, wie das BSI am 11. September 2026 mitteilte.
Von Nele Sauerland, Redakteurin Digitalisierung, Steuern & Recht
Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen auf dem EU-Binnenmarkt aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden. Das sieht der Cyber Resilience Act (CRA) vor, wie das BSI am 11. September 2026 mitteilte.
Wer melden muss und was
Die Meldepflicht trifft Hersteller, die Produkte mit digitalen Elementen in der Europäischen Union in Verkehr bringen. Zu melden sind aktiv ausgenutzte Schwachstellen in den Produkten und schwerwiegende Sicherheitsvorfälle, die die Produkte betreffen. Welche Produkte konkret unter die Definition fallen, nennt die Mitteilung des BSI vom 11. September 2026 nicht.
Die Verordnung gilt für alle Hersteller, die ihre Produkte auf dem EU-Binnenmarkt anbieten, unabhängig vom Sitz des Unternehmens. Ein Maschinenbauer aus Schwaben, ein Softwarehaus aus Berlin oder ein Steuerungshersteller aus Österreich: Wer Produkte mit digitalen Elementen verkauft, fällt unter die Regelung.
Fristen und Sanktionen bleiben offen
Welche Fristen nach Bekanntwerden einer Schwachstelle oder eines Vorfalls gelten, nennt die Mitteilung des BSI vom 11. September 2026 nicht. Auch zu Sanktionen bei Nichtmeldung macht die Behörde keine Angaben. Wie viele Hersteller in Deutschland vom CRA betroffen sind, ist nicht beziffert.
Unterstützung durch das BSI
Das BSI stellt Herstellern Schritt-für-Schritt-Anleitungen zur Verfügung, um die Meldepflichten des CRA zu erfüllen, wie die Behörde am 11. September 2026 bekannt gab.
Was das für Unternehmer heißt
Für mittelständische Hersteller von Maschinen, Steuerungen oder Software heißt die Meldepflicht: Wer Produkte mit digitalen Elementen auf dem EU-Binnenmarkt vertreibt, muss Prozesse für die Erfassung und Meldung von Schwachstellen und Vorfällen einrichten. Die Anleitungen des BSI geben einen ersten Anhaltspunkt, welche Schritte nötig sind. Wer unsicher ist, ob ein Produkt unter die Regelung fällt, sollte das vor dem Inverkehrbringen klären.
Kurz gesagt
Der Cyber Resilience Act verpflichtet Hersteller seit dem 11. September 2026 zur Meldung von Schwachstellen und Sicherheitsvorfällen an das BSI.
Quellen
Quelle
- Pressemitteilung des BSI vom 11. September 2026 zu den CRA-Meldepflichten (11. September 2026)bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse
Laut Mittelstandsreporter
„Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen auf dem EU-Binnenmarkt aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an das BSI melden, wie das BSI am 11. September 2026 mitteilte.“
Diese Meldung mit Quellenlink zitieren.