EU-Meldepflicht für Cybersicherheit tritt in Kraft

Mit dem heutigen 11. September 2026 beginnt eine neue Phase in der Cybersicherheit: Die Melde- und Berichtspflichten des EU Cyber Resilience Act (CRA) werden anwendbar. Hersteller von Produkten mit digitalen Elementen sind ab sofort verpflichtet, Behörden über aktiv ausgenutzbare Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb strenger Fristen zu informieren.

Die Regelung führt neue operative Anforderungen ein. Unternehmen müssen nun festlegen, wie eine potenzielle Sicherheitslücke bewertet wird und wie die Meldung erfolgt – oft noch während die technische Untersuchung läuft.

Fristen und Meldewege

Die Zeitvorgaben sind eng getaktet: Innerhalb von 24 Stunden nach Bekanntwerden eines meldepflichtigen Falls muss eine Frühwarnung eingereicht werden. Binnen 72 Stunden folgt eine ausführlichere Meldung. Ein abschließender Bericht ist bei aktiv ausgenutzten Schwachstellen 14 Tage nach Verfügbarkeit von Korrekturmaßnahmen fällig, bei schweren Vorfällen innerhalb eines Monats nach Erstmeldung.

Hersteller melden über die CRA Single Reporting Platform (SRP) an das zuständige Computer Security Incident Response Team (CSIRT) und in der Regel gleichzeitig an die EU-Agentur ENISA. Auch betroffene Kunden müssen informiert werden, einschließlich verfügbarer Abhilfemaßnahmen.

Die Hauptverpflichtungen des CRA, darunter Konformitätsbewertung und CE-Kennzeichnung, treten erst am 11. Dezember 2027 in Kraft.

Neue Anforderungen an Hersteller

Die Meldepflicht verändert die Anforderungen an Produktsicherheit grundlegend. Während früher vor allem Sicherheitsfunktionen wie Secure Boot, Hardware-Vertrauensanker oder kryptografische Module im Mittelpunkt standen, rücken nun Prozesse und Kommunikation in den Vordergrund.

Kunden stellen zunehmend Fragen zur Schwachstellenbehandlung: Wie wird mit einer Sicherheitslücke umgegangen? Wann und wie werden betroffene Kunden informiert? Welche Informationen stehen zur Bewertung der Auswirkungen zur Verfügung?

Diese Fragen erfordern definierte Abläufe, klare Zuständigkeiten und koordinierte Kommunikation – Aufgaben, die ein Product Security Incident Response Team (PSIRT) übernimmt.

Rolle von Zulieferern

Der Halbleiterhersteller NXP hat seine bestehenden Prozesse zur Schwachstellenbehandlung an die CRA-Anforderungen angepasst. Das Unternehmen bietet einen öffentlichen Meldekanal für potenzielle Sicherheitslücken in NXP-Produkten.

Gemeldete Probleme werden bewertet, die Schwere eingeschätzt und betroffene Produkte identifiziert. Bei bestätigten Fällen werden Abhilfemaßnahmen geprüft – von Anleitungen über Workarounds bis zu Software-Updates. Je nach Situation werden betroffene Kunden über geeignete Kanäle informiert.

Erfüllt ein Vorfall die CRA-Meldekriterien, erfolgt die Meldung über die offizielle Plattform gemäß den gesetzlichen Fristen.

Empfehlungen für Produkthersteller

Experten raten Herstellern zu drei Schritten: Erstens sollten Zuständigkeiten für Schwachstellenbewertung, technische Untersuchung, rechtliche Prüfung und Meldung klar definiert werden. Zweitens sollten dokumentierte Prozesse für die Meldung von Sicherheitsproblemen an Komponenten- und Software-Lieferanten etabliert werden, einschließlich aktueller Sicherheitskontakte.

Drittens wird empfohlen, Informationen zu Produkten, Software und Komponenten aktuell zu halten. Software Bills of Materials (SBOMs), Produktkennungen, Softwareversionen und Lieferantenkontakte können die Bewertung und Reaktion beschleunigen.

Die Verantwortung für die Bewertung der Auswirkungen auf das eigene System und die Erfüllung der Verpflichtungen bleibt beim Hersteller des Endprodukts.

Quelle: https://www.nxp.com/company/about-nxp/smarter-world-blog/BL-CRA-NXP-PSIRT-SUPPORTS-VULNERABILITY