Der Cyber Resilience Act in zwei Wochen: Was ist tatsächlich bereit, und was noch nicht?

Zwei Wochen vor dem Inkrafttreten der Meldepflicht gemäß Artikel 14 befindet sich die dahinterstehende Infrastruktur noch im Aufbau. Die Leitlinien der Kommission sind zwar genehmigt, aber noch nicht offiziell in Kraft getreten. Die Meldeplattform befindet sich in der Testphase und ist noch nicht live. Kein einziger harmonisierter Standard ist im Amtsblatt veröffentlicht.

Jede dieser Lücken legt noch mehr Gewicht auf die eine Kontrollmöglichkeit, die vollständig in Ihrer Hand liegt, unabhängig davon, was Brüssel, die ENISA oder die Normungsgremien als Nächstes tun: zu wissen, was tatsächlich in Ihrer Umgebung läuft und ob es ausgenutzt wird. Genau darauf ist OPENVAS ausgelegt.

Die Leitlinien der Kommission sind erschienen

Am 27. Juli 2026 hat die Europäische Kommission ihre ersten offiziellen Leitlinien zur Anwendung des CRA genehmigt: Mitteilung C(2026) 5252 final, mit einem umfassenden Anhang, der den Anwendungsbereich, freie und Open-Source-Software, wesentliche Änderungen, Supportzeiträume und Berichtspflichten abdeckt. Artikel 26 der Verordnung verlangt genau dies: Leitlinien, die gezielt darauf abzielen, Kleinstunternehmen und KMU bei der Einhaltung der Vorschriften zu unterstützen, und der Anhang liefert dies mit 67 ausgearbeiteten Beispielen.

Die formelle Verabschiedung erfolgt, sobald alle Sprachfassungen in den EU-Sprachen vorliegen. Hier der Wortlaut der Kommission zu diesem Punkt: Die Leitlinien „werden zu einem späteren Zeitpunkt, wenn alle Sprachfassungen vorliegen, von der Kommission formell verabschiedet. Erst ab diesem Zeitpunkt treten sie in Kraft.“ Der Inhalt steht fest. Die Formalitäten werden noch abgewickelt.

Die Einstufung hängt von der tatsächlichen Kernfunktionalität Ihres Produkts ab, nicht von dessen Namen oder dem Werbetext. Die Ausnahmeregelungen für FOSS funktionieren so, wie es der Leitlinienentwurf bereits Anfang des Jahres signalisiert hatte. Wir haben die Open-Source-Bestimmungen in einem separaten Beitrag ausführlich behandelt, da die Frage, was als „Steward“ gilt und welche Verpflichtungen diese Rolle mit sich bringt, eine eigene Erörterung verdient.

Die vorliegenden Leitlinien beseitigen jegliche Ausrede dafür, die Einhaltung der CRA als rein theoretisch zu betrachten. Die Kommission hat schriftlich dargelegt, was die Vorschriften bedeuten, und zwar nach einem Zeitplan, der mit der stufenweisen Anwendbarkeit der Verordnung selbst übereinstimmt: Kapitel IV ab dem 11. Juni 2026, Berichterstattung gemäß Artikel 14 ab dem 11. September 2026, vollständige Anwendung ab dem 11. Dezember 2027.

Die Meldeplattform wird derzeit noch getestet

Die Meldepflichten gemäß Artikel 14 werden am 11. September 2026, also in zwei Wochen, rechtsverbindlich. Die einheitliche Meldeplattform der ENISA soll laut ENISA-Angaben bis zu diesem Datum betriebsbereit sein, nicht unbedingt schon vorher. Die Seite der Europäischen Kommission zu den Meldepflichten bestätigt, dass derzeit Funktions- und Sicherheitstests durchgeführt werden. ENISA wird die spezielle URL der Plattform veröffentlichen, sobald diese bereit ist – nicht vorher.

Anleitungen zur Registrierung als „beauftragter Vertreter“ werden seit dem 31. Juli schrittweise bereitgestellt, wobei die Aktualisierungen bis Ende August andauern. Die Validierung Ihres registrierten Vertreters durch das CSIRT erfolgt parallel zur Meldung und stellt keine Vorbedingung dar. Der grenzüberschreitende Informationsaustausch zwischen den CSIRTs erfolgt automatisch, sobald eine Meldung eingeht. Die ENISA selbst rät dazu, sich erst dann zu registrieren, wenn Sie eine konkrete Meldung einreichen müssen, und nicht vorher.

Eine Plattform, die bis zum Tag des Inkrafttretens betriebsbereit sein soll, sich aber zwei Wochen vor diesem Termin noch in der Testphase befindet, lässt wenig bis gar keinen Spielraum für Probleme bei der Einarbeitung. Lesen Sie jetzt die Registrierungsschritte. Machen Sie sich mit dem Meldeverfahren vertraut, bevor Sie es unter Zeitdruck innerhalb von 24 Stunden durchführen müssen.

Die Normen, auf die die Hersteller gesetzt haben, sind noch nicht veröffentlicht

Stand Ende August 2026 ist im Amtsblatt für keine Produktkategorie ein Verweis auf eine harmonisierte CRA-Norm zu finden. Der zugrunde liegende Auftrag ist klar: Normungsantrag M/606, 41 Normen für horizontale und vertikale Kategorien, angenommen von CEN, CENELEC und ETSI im Rahmen des Durchführungsbeschlusses C(2025) 618 final der Kommission vom 3. Februar 2025.

Die ursprünglichen Fristen gliederten sich in drei Teilbereiche. Typ A, die Rahmenprinzipien, die für sich genommen keine Konformitätsvermutung begründen, sowie der Teil von Typ B, der sich mit dem Umgang mit Schwachstellen befasst, waren bis zum 30. August 2026 fällig. Typ C, die vertikalen, produktspezifischen Normen für die Kategorien der Anhänge III und IV, war bis zum 30. Oktober 2026 fällig. Ein dritter Termin liegt noch weiter in der Zukunft: der 30. Oktober 2027 für die andere Hälfte von Typ B, die produktübergreifende Norm, die die 13 grundlegenden Anforderungen in Anhang I, Teil 1 konkretisieren soll – jene, auf die sich die meisten Hersteller außerhalb der Kategorien der Anhänge III und IV tatsächlich stützen würden, um die Konformitätsvermutung zu erlangen. Dieser Termin stammt aus der eigenen Planung der CRA-Expertengruppe, wie von einem Mitglied der CRA-Expertengruppe beschrieben. Er ist in keinem veröffentlichten Beschluss der Kommission erschienen.

Die Kommission veröffentlichte Anfang Juli 2026 einen Entwurf zur Änderung der Fristen für 2026, wodurch die Termine für Typ A, den Umgang mit Sicherheitslücken und Typ C um etwa zwei Monate nach hinten verschoben wurden: auf den 31. Oktober 2026 bzw. den 31. Dezember 2026. Ob sich auch der Termin für die andere Hälfte von Typ B im Jahr 2027 verschiebt, ist noch nicht bestätigt. Diese Änderung wurde noch nicht offiziell verabschiedet und ist noch nicht im Amtsblatt veröffentlicht (Entwurf des Durchführungsbeschlusses; CRA Evidence).

Aktueller Stand: 17 vertikale ETSI-Entwürfe befinden sich in der öffentlichen Anhörung, wobei die Kommentierungsfristen zwischen Mitte September und Mitte November enden. Die horizontalen Normen von CEN und CENELEC befinden sich noch in der Entwicklung.

Für Hersteller „wichtiger“ Produkte der Klasse I (VPNs, Passwortmanager, Browser und ähnliche Kategorien), die eine Selbstbewertung anhand einer veröffentlichten harmonisierten Norm planen, gibt es bislang noch keine Anhaltspunkte, und die Norm, auf die die meisten von ihnen tatsächlich zurückgreifen würden – nämlich die produktübergreifende Typ-B-Norm, die alle 13 grundlegenden Anforderungen des Anhangs I abdeckt –, soll erst 2027 vorliegen, unabhängig davon, wie sich die Verzögerung bis 2026 auflöst.

Kapitel IV hat den Mitgliedstaaten die Möglichkeit eröffnet, am 11. Juni 2026 Konformitätsbewertungsstellen offiziell zu benennen. Das Ziel der Kommission für eine ausreichende Kapazität der benannten Stellen ist Dezember 2026, und sie beschreibt dieses Ziel ausdrücklich als „Best-Efforts“-Zielsetzung, nicht als Garantie. Die Benennung begann vor drei Monaten. Richten Sie Ihren Zeitplan für die Bewertung danach aus.

Die Abkürzung über die Normen verzögert sich. Der Weg über benannte Stellen ist ein System, das sich noch im Aufbau befindet. Planen Sie beides ein.

Keine dieser Lücken muss Ihre eigenen Vorbereitungen zum Stillstand bringen. Die Arbeiten an der Dokumentation, der Risikobewertung und dem Schwachstellenmanagement, die bei jeder Selbstbewertung oder jedem Audit durch Dritte letztendlich überprüft werden, warten nicht darauf, dass einer der beiden Wege frei wird. OPENVAS legt diese Grundlagen bereits jetzt: ein täglich aktualisierter Feed, CVSS-basierte Priorisierung sowie ein exportierbarer, mit Zeitstempeln versehener Scan-Verlauf – genau die Nachweiskette, die eine benannte Stelle oder eine zukünftige harmonisierte Norm erwarten wird.

Was das für Sie bedeutet

Nichts von alledem ist ein Grund zum Abwarten. Ganz im Gegenteil. Die Teile der CRA, die von der Kommission, der ENISA oder den europäischen Normungsgremien abhängen, sind noch in Arbeit. Die Teile, die von Ihnen abhängen – zu wissen, was sich in Ihrem Produktportfolio befindet, aktive Ausnutzung zu erkennen und auf Anfrage eine datierte Nachweiskette vorlegen zu können –, liegen heute vollständig in Ihren Händen.

Die Leitlinien der Kommission definieren den Begriff „Kenntniserlangung“ – den Auslöser für Ihre 24-Stunden-Meldefrist – ganz genau: Ein Hersteller gilt als in Kenntnis gesetzt, sobald er nach der Bewertung eines verdächtigen Vorfalls zu einer angemessenen Gewissheit gelangt ist, dass eine Schwachstelle aktiv ausgenutzt wird. Dieser Standard orientiert sich ausdrücklich an der Schwelle für die Meldung von Datenschutzverletzungen gemäß der DSGVO. Diese Gewissheit erlangen Sie durch aktive Überwachung. Es besteht keine rückwirkende Meldepflicht für Schwachstellen, von denen Sie bereits vor dem 11. September wussten.

Wenden Sie sich damit an den Verantwortlichen für das Budget: kontinuierliches Schwachstellenmanagement ist der einzige Teil dieses Compliance-Gesamtbildes, der heute vollständig in Ihrer Kontrolle liegt. Es ist das, was aus „wir glauben, dass alles in Ordnung ist“ eine datierte Nachweiskette macht, die eine Aufsichtsbehörde oder eine benannte Stelle tatsächlich überprüfen kann. OPENVAS bietet genau das: planmäßige Scans anhand eines täglich aktualisierten Feeds, CVSS-basierte Priorisierung sowie exportierbare, mit Zeitstempeln versehene Berichte, die für sich allein stehen und unabhängig vom Einführungszeitplan einer staatlichen Plattform sind.

Darüber hinaus gibt es noch eine schnellere Ebene, die auf dieser Basis aufbaut. OPENVAS SECURITY INTELLIGENCE erfasst CSAF-Hinweise aus vertrauenswürdigen Quellen, von Anbietern und nationalen Sicherheitsbehörden, und zwar genau für die Produkte in Ihrer Infrastruktur, und gleicht diese mit Ihrem Software-Bestand ab, um zu kennzeichnen, welche Hinweise tatsächlich für Sie relevant sind. Wenn eine 24-Stunden-Meldungsfrist beginnt, ist das der Unterschied zwischen dem manuellen Durchsehen eines Dutzends Hersteller-Hinweisseiten und einer Analyse, die bereits an einem Ort vorliegt.

Zusammenfassung

Die Leitlinien der Kommission sind inhaltlich genehmigt und gelten offiziell, sobald die Übersetzung abgeschlossen ist. Die Meldeplattform, die die Hersteller nutzen sollen, befindet sich noch in der Testphase, zwei Wochen bevor sie verbindlich wird. Die harmonisierten Normen, die den Herstellern eine Abkürzung bei der Selbstbewertung bieten sollten, sind noch nicht im Amtsblatt veröffentlicht, und weder die Verzögerung noch die Situation hinsichtlich der Kapazitäten der benannten Stellen sind vollständig geklärt. Nichts davon ändert etwas daran, was am 11. September fällig ist oder was „Kenntniserlangung“ ab diesem Tag von Ihnen verlangt.

OPENVAS bietet Ihnen den Teil, auf den Sie nicht warten müssen: einen täglich aktualisierten Schwachstellen-Feed, eine CVSS-basierte Priorisierung sowie exportierbare, mit Zeitstempel versehene Scan-Berichte, die Ihre Erkennungslage dokumentieren – unabhängig davon, wie die regulatorische Infrastruktur am ersten Tag aussieht.

Lesen Sie den vollständigen Leitfaden: Der vollständige Leitfaden zum EU-Gesetz zur Cyber-Resilienz – alle Anforderungen, Fristen und Strafen auf einen Blick.