Click here for the English article.
Einleitung
Ab dem 11. September 2026 gelten für viele Softwarehersteller neue gesetzliche Meldepflichten. An diesem Tag wird der erste praktisch relevante Teil des Cyber Resilience Act (CRA) anwendbar: Hersteller von Software und anderen Produkten mit digitalen Elementen müssen dann aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden – und zwar innerhalb festgelegter Fristen (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, danach ein Abschlussbericht).
Wichtig: Diese Meldepflicht gilt nicht nur für neue Produkte, sondern auch für bereits im Markt befindliche Bestandssoftware. Auch wenn die vollständigen Produktanforderungen des CRA erst Ende 2027 verbindlich werden, sollten Softwarehersteller ihre Prozesse bereits jetzt darauf vorbereitet haben. Dazu gehören insbesondere ein funktionierendes Schwachstellenmanagement, klare Verantwortlichkeiten und die Fähigkeit, Sicherheitsvorfälle zeitnah zu bewerten.
Was bedeutet das für euch?
Wenn ihr Software entwickelt oder vertreibt, solltet ihr prüfen, ob und in welchem Umfang der CRA für eure Produkte gilt. Neben den eigentlichen Produktanforderungen spielt auch die organisatorische Seite eine wichtige Rolle:
- Wie werden Sicherheitslücken gemeldet und bewertet?
- Welche verwendeten Komponenten sind betroffen?
- Wer entscheidet über notwendige Maßnahmen?
- Wie gelangen Sicherheitsupdates möglichst schnell zu euren Anwendern?
Viele Unternehmen beschäftigen sich derzeit intensiv mit diesen Fragen – falls ihr das noch nicht getan habt, ist jetzt ein guter Zeitpunkt dafür.
Sicherheit bei combit
Auch wir haben unsere Prozesse auf die Anforderungen des CRA ausgerichtet. Dabei sind zwei Meldewege zu unterscheiden:
Meldungen von euch an uns: Wenn ihr eine Sicherheitslücke in einem unserer Produkte entdeckt, könnt ihr diese vertraulich an unser Computer Emergency Response Team (CERT) unter cert@combit.net melden.
Meldungen von uns an die Behörden: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden wir ab September 2026 entsprechend den gesetzlichen Vorgaben des CRA über die Single Reporting Platform der ENISA an die zuständigen Stellen.
Über den privaten Sicherheitsbereich unseres Forums informieren wir euch über bekannte Sicherheitslücken sowie verfügbare Maßnahmen und Updates.
Damit ihr sicherheitsrelevante Aktualisierungen zeitnah erhaltet, empfehlen wir außerdem, eure Subscription aktuell zu halten. So könnt ihr notwendige Sicherheitsupdates ohne Verzögerung einspielen.
Fazit
Der Cyber Resilience Act macht deutlich: Produktsicherheit ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess – für uns als Hersteller ebenso wie für euch als Softwareentwickler und Anwender.