CRA-Meldepflicht ab September: Was für smarte Geräte schon gilt

Ab dem 11. September 2026 bekommt der Cyber Resilience Act (CRA) seine erste für den Alltag relevante operative Stufe. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über eine zentrale EU-Plattform melden. Die Fristen sind kurz: zunächst 24 Stunden, anschließend 72 Stunden.

Das klingt nach dem Vollstart neuer Sicherheitsregeln für Router, smarte Kameras, Wearables und Software. Genau das ist es aber noch nicht. Der größte Teil der Cyberresilienz-Verordnung gilt erst ab 11. Dezember 2027. Wer jetzt ein vernetztes Produkt kauft, sollte deshalb zwei Dinge auseinanderhalten: Ab September entsteht ein verbindlicher Meldeweg für ernste Fälle; die umfassenden Anforderungen an Entwicklung, Konformität, Updateversorgung und Produktinformationen kommen später.

Der erste Stichtag ist kein Vollstart

Der CRA ist bereits EU-Recht, wird aber gestaffelt anwendbar. Artikel 14 mit den Meldepflichten gilt ab 11. September 2026. Die übrigen zentralen Produktpflichten greifen grundsätzlich ab 11. Dezember 2027. Dazu gehören unter anderem Anforderungen an sichere Voreinstellungen, den Umgang mit Schwachstellen über den Produktlebenszyklus und Informationen zum Unterstützungszeitraum.

Wichtig ist eine Übergangsregel: Die Meldepflicht gilt auch für Produkte im Anwendungsbereich des CRA, die schon vor Dezember 2027 in Verkehr gebracht wurden. Ein bereits verkauftes smartes Gerät ist für den Hersteller also nicht automatisch außerhalb des neuen Meldewegs. Das bedeutet aber nicht, dass jedes ältere Gerät ab September sämtliche späteren Produktanforderungen erfüllen muss.

Ebenso wenig erscheint im September ein neues EU-Sicherheitssiegel im Laden. Der CRA knüpft die spätere Konformität an die bestehende CE-Systematik; die CE-Kennzeichnung ist jedoch kein Testurteil und keine Bestenliste für Cybersicherheit. Käufer sollten daraus weder eine Garantie für Fehlerfreiheit noch eine bestimmte Update-Dauer ableiten.

24 Stunden, 72 Stunden, Abschlussbericht

Artikel 14 unterscheidet zwei meldepflichtige Ereignisse: eine aktiv ausgenutzte Schwachstelle, für die verlässliche Hinweise auf eine unbefugte Ausnutzung vorliegen, und einen schwerwiegenden Sicherheitsvorfall, der die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit wichtiger Daten oder Funktionen beeinträchtigt oder beeinträchtigen kann.

Nicht jede theoretisch denkbare Schwachstelle löst damit automatisch die kurze Meldekette aus. Sobald ein Hersteller jedoch von einem erfassten Ereignis Kenntnis erlangt, läuft ein gestuftes Verfahren:

• Innerhalb von 24 Stunden: Frühwarnung mit dem Ereignistyp und, soweit bekannt, den Mitgliedstaaten, in denen das Produkt bereitgestellt wurde.
• Innerhalb von 72 Stunden: allgemeine Informationen, eine erste Bewertung sowie bereits ergriffene oder für Nutzer mögliche Maßnahmen.
• Bei aktiv ausgenutzten Schwachstellen: Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur oder Risikominderung verfügbar ist.
• Bei schweren Sicherheitsvorfällen: Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Meldung.

Die Meldung soll über die Single Reporting Platform (SRP) laufen, die ENISA betreibt. Sie ist als zentraler Eingang gedacht: Der Hersteller meldet an das zuständige koordinierende Computer Security Incident Response Team (CSIRT), zugleich werden die Informationen für ENISA zugänglich. Laut ENISA soll die Plattform zum 11. September betriebsbereit sein. Sie ist kein öffentliches Warnportal, in dem Verbraucher jede eingegangene Meldung durchsuchen können.

Was Käufer davon tatsächlich merken können

Der praktische Nutzen liegt zunächst hinter den Kulissen. Ein einheitlicher Eingang und feste Fristen sollen verhindern, dass Informationen über eine aktiv ausgenutzte Lücke zwischen Hersteller, nationalen Stellen und anderen EU-Ländern hängen bleiben. Das ist besonders relevant, wenn dasselbe Kameramodell, dieselbe App oder dieselbe Softwarekomponente in vielen Mitgliedstaaten genutzt wird.

Für Betroffene gibt es trotzdem eine direkte Verbindung: Der CRA verpflichtet Hersteller, betroffene Nutzer über eine aktiv ausgenutzte Schwachstelle oder einen schweren Sicherheitsvorfall zu informieren und erforderliche Minderungs- oder Korrekturmaßnahmen zu nennen. Informiert ein Hersteller nicht rechtzeitig, kann das koordinierende CSIRT Nutzer unter bestimmten Voraussetzungen selbst informieren.

Daraus folgt jedoch nicht, dass ab September jede Sicherheitslücke sofort öffentlich wird oder jedes Problem binnen 24 Stunden behoben ist. Die erste Frist betrifft die Frühwarnung, nicht den fertigen Patch. Auch die Plattform beseitigt keine Schwachstelle; sie strukturiert den Informationsfluss und die Aufsicht.

Drei Fragen vor dem nächsten Kauf

Bis die umfassenden Produktpflichten Ende 2027 gelten, bleibt die Updatepolitik des Anbieters ein entscheidendes Kaufkriterium. Vor allem bei Geräten, die lange im Haushalt bleiben, sollten Käufer nach drei konkret beantwortbaren Punkten suchen:

• Bis zu welchem Datum gibt es Sicherheitsupdates? „Regelmäßige Updates“ ohne Enddatum ist weniger belastbar als ein klar genannter Unterstützungszeitraum.
• Wie kommen Warnungen und Updates an? Automatische Sicherheitsupdates sind hilfreich; ebenso wichtig ist ein nachvollziehbarer Kanal, etwa die Geräte-App oder eine offizielle Supportseite.
• Was passiert am Supportende? Ein Anbieter sollte erklären, ob Funktionen abgeschaltet werden, ein sicherer Weiterbetrieb möglich ist oder das Gerät ersetzt werden sollte.

Der CRA wird Herstellern später grundsätzlich einen Unterstützungszeitraum von mindestens fünf Jahren abverlangen, sofern die erwartete Nutzungsdauer nicht kürzer ist. Für langlebige Produkte kann ein längerer Zeitraum nötig sein. Diese künftige Regel ist ein guter Maßstab für Kaufentscheidungen – sie ist aber noch keine Zusage für jedes Gerät, das im Sommer 2026 im Regal steht.

Wenn eine Sicherheitswarnung eintrifft

Eine echte Herstellerwarnung sollte zum Produktmodell passen und klare Schritte nennen. Öffnen Sie die bekannte Geräte-App oder geben Sie die Supportadresse des Herstellers selbst in den Browser ein, statt einem unerwarteten Link zu folgen. Prüfen Sie Modell und Firmwareversion, installieren Sie verfügbare Sicherheitsupdates und setzen Sie das Gerät bei einer konkret beschriebenen Gefahr notfalls vorübergehend außer Betrieb oder trennen Sie es vom Netz.

Unabhängig vom CRA empfiehlt das Bundesamt für Sicherheit in der Informationstechnik, Updates möglichst automatisch einzuspielen, sichere individuelle Passwörter zu verwenden und nicht benötigte Schnittstellen zu deaktivieren. Bei Routern und Smart-Home-Zentralen lohnt sich außerdem ein Blick darauf, ob der Hersteller weiterhin Sicherheitsaktualisierungen liefert.

Der Fortschritt ist ein Meldeweg, keine Garantie

Der Stichtag im September ist mehr als eine Verwaltungsformalität: Er schafft erstmals einen EU-weit verbindlichen Takt für Meldungen zu aktiv ausgenutzten Produktlücken und schweren Sicherheitsvorfällen. Gerade bei grenzüberschreitend verkauften Geräten kann das die Koordination beschleunigen und Warnungen an Betroffene besser strukturieren.

Für Verbraucher ist die richtige Erwartung trotzdem nüchtern. Ab September wird ein ernstes Problem schneller in einen geregelten Meldeprozess gezwungen. Ob ein konkretes Gerät langfristig sicher bleibt, hängt weiterhin von sauberer Entwicklung, schneller Fehlerbehebung, verständlichen Warnungen und einer verlässlichen Updatezusage ab. Die umfassenden CRA-Pflichten sollen diese Punkte ab Ende 2027 stärker absichern – der erste Stichtag ersetzt sie nicht.