Ab dem 11. September 2026 müssen Hersteller, bedingt durch den Cyber Resilience Act (CRA), aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden melden. Die Frist setzt eine lückenlose Nachvollziehbarkeit von Zugriffen auf verwundbare Builds voraus – doch gerade in Schwachstellenmanagement und CI/CD fehlen häufig entsprechende Kontrollen.
Ein Kommentar von Shane Barney, CISO bei Keeper Security
Ab dem 11. September 2026 gilt für Hersteller von Hardware- und Softwareprodukten, die in der EU verkauft werden, eine 24-Stunden-Frist. Jede aktiv ausgenutzte Schwachstelle und jeder schwerwiegende Sicherheitsvorfall, der ein Produkt mit digitalen Elementen betrifft, muss innerhalb eines Tages sowohl der Agentur der Europäischen Union für Cybersicherheit (ENISA) als auch dem deutschen CERT-Bund gemeldet werden. Das gilt auch für bereits auf dem Markt befindliche Bestandsprodukte. Die vollständige Meldung muss spätestens innerhalb von 72 Stunden über die Single Reporting Platform erfolgen.
Die Meldefrist von 24 Stunden stellt Unternehmen operativ vor eine Herausforderung. Sie setzt voraus, dass ein Unternehmen in Echtzeit weiß, wer wann und mit welchem Berechtigungsniveau mit einem verwundbaren Build interagiert hat. Bei den meisten Herstellern ist diese Voraussetzung nicht erfüllt. Das Schwachstellenmanagement und die CI/CD-Pipelines sind häufig die Bereiche der Software-Lieferkette mit den geringsten Zugriffskontrollen. Sie arbeiten mit gemeinsam genutzten Zugangsdaten, fest hinterlegten Secrets und dauerhaft bestehenden Zugriffsrechten, die niemand regelmäßig überprüft.
Kurze Meldefrist trifft auf fehlende Zugriffskontrollen
In der Keeper-Studie aus dem Jahr 2026 benennen bereits 25 Prozent der deutschen Unternehmen eine eingeschränkte Kontrolle über Zugriffe von Drittanbietern und Dienstleistern als Governance-Lücke. Genau diese Lücke berührt unmittelbar die neue Meldepflicht, denn ein Hersteller kann innerhalb von 24 Stunden keine belastbare Meldung erstellen, wenn er nicht in der Lage ist festzustellen, wer über privilegierte Zugriffsrechte auf die betroffene Komponente verfügte.
Sichere Zugänge und lückenlose Audit-Trails werden Pflicht
Um die Frist in der Praxis einhalten zu können, müssen Unternehmen fest hinterlegte Zugangsdaten aus Build- und DevOps-Pipelines entfernen, die für den Zugriff auf Systeme zur Schwachstellenverwaltung verwendeten Zugangsdaten in einem sicheren Vault verwalten und eine ausreichend detaillierte Audit-Trail-Dokumentation führen, die eine Meldung noch am selben Tag unterstützt. Die grundlegenden Anforderungen des Cyber Resilience Acts gehen noch weiter: Sie verlangen unter anderem eine angemessene Zugriffskontrolle sowie den Schutz von Authentifizierungsdaten innerhalb des Produkts selbst.
Die Frist im September begünstigt somit Hersteller, die sich rechtzeitig vorbereitet haben, und macht sichtbar, wo entsprechende Vorkehrungen fehlen. Mit der Frist im Dezember 2027 steigen die Anforderungen erneut: Dann müssen diese Erwartungen bereits bei der Entwicklung und Gestaltung des Produkts berücksichtigt sein – also bevor es überhaupt zu einem Sicherheitsvorfall kommt.
Weitere Informationen
DATENSICHERHEIT.DE, 23.07.2026
Cyber Resilience Act macht Cybersicherheit für vernetzte Produkte zur Pflicht
DATENSICHERHEIT.DE, 12.07.2026
Cyber Resilience Act (CRA): Bringschuld der Unternehmen per September 2026
DATENSICHERHEIT.DE, 30.04.2026
FTAPI gibt CRA-Tipps für KMU: Cyber Resilience Act oft ein Buch mit 7 Siegeln
DATENSICHERHEIT.DE, 18.10.2024
Cyber Resilience Act der EU (CRA): Verabschiedung und Konsequenzen für Unternehmen
