Die erste verbindliche Frist des EU-Gesetzes zur Cyber-Resilienz (CRA) tritt diese Woche in Kraft. Ab dem 11. September 2026 müssen Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen, aktiv ausgenutzte Sicherheitslücken innerhalb von 24 Stunden nach Bekanntwerden melden. Eine detailliertere Meldung ist innerhalb von 72 Stunden fällig, gefolgt von einem Abschlussbericht innerhalb von 14 Tagen, nachdem eine Abhilfemaßnahme verfügbar geworden ist. Eine parallele Meldepflicht gilt für schwerwiegende Cybersicherheitsvorfälle, die die Sicherheit des Produkts beeinträchtigen. In diesen Fällen ist der Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Meldung fällig.

Beide Verpflichtungen gelten für Produkte, die bereits auf dem Markt sind, und nicht nur für Neuerscheinungen, und beide obliegen dem Hersteller, unabhängig davon, ob es sich bei dem Produkt um Hardware, Software oder einen vernetzten Dienst handelt. Jede in der EU betriebene Messaging- oder Koordinationsplattform unterliegt nun direkt dieser Verpflichtung.

Sicherheit ist keine freiwillige Investition mehr

Vor Inkrafttreten des CRA konnte ein Anbieter selbst entscheiden, wie viel er in die Produktsicherheit investieren und wie viel er öffentlich darüber sprechen wollte. Diese Wahlmöglichkeit gibt es nun nicht mehr. Bis zum 11. Dezember 2027 muss jedes Produkt mit digitalen Elementen von Grund auf sicher sein, ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden, eine erklärte Supportdauer von mindestens fünf Jahren aufweisen (es sei denn, die erwartete Lebensdauer des Produkts ist naturgemäß kürzer) und jedes veröffentlichte Sicherheitsupdate mindestens 10 Jahre nach dessen Veröffentlichung oder für den Rest der Supportdauer verfügbar halten, je nachdem, welcher Zeitraum länger ist. Die vollständige Konformität, die technische Dokumentation, eine maschinenlesbare Software-Stückliste (SBOM) und die CE-Kennzeichnung sind alle zu diesemselben Zeitpunkt fällig. Sicherheit wird zu einer dokumentierten, überprüfbaren Voraussetzung für den Verbleib auf dem EU-Markt und nicht mehr zu einer Behauptung, die ein Anbieter unangefochten aufstellen darf.

Die Nichteinhaltung hat Konsequenzen, die über eine Geldbuße hinausgehen. Marktüberwachungsbehörden können Abhilfemaßnahmen, den Rückzug von Produkten oder einen vollständigen Rückruf anordnen – zusätzlich zu Geldbußen in Höhe von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes wegen Verstoßes gegen die grundlegenden Anforderungen oder die Verpflichtungen gemäß Artikel 13 oder 14, je nachdem, welcher Betrag höher ist. Jede Organisation, die sensible Koordinationsaufgaben weiterhin über einen Anbieter abwickelt, der diese Fragen nicht beantworten kann, ist nun zusätzlich zum operativen Risiko auch einem regulatorischen Risiko ausgesetzt.

Warum für Kommunikationsplattformen mehr auf dem Spiel steht

Eine Sicherheitslücke in einer Tabellenkalkulationsanwendung ist begrenzt. Eine Sicherheitslücke in der Plattform, die ein Unternehmen zur Koordination sensibler Abläufe, der Kommunikation der Führungskräfte und der Reaktion auf Vorfälle nutzt, kann jedoch zu einem Single Point of Failure für alle darüber abgewickelten Prozesse werden – einschließlich der Reaktion auf den Vorfall selbst. Kommunikationstools wurden in der Vergangenheit meist aufgrund ihrer Funktionen, ihres Preises und der Vertrautheit mit der Benutzeroberfläche ausgewählt. Die Sicherheitslage war selten eine vorrangige Anforderung. Die Verwendung von Tools, an die die Nutzer aus ihrem Privatleben gewöhnt waren, ließ sich leichter rechtfertigen als sicherheitsorientierte Entscheidungen. Die CRA verändert die Beschaffungspraxis nachhaltig, da der Umgang mit Sicherheitslücken nun dokumentiert und überprüfbar sein muss – mit einem Nachweispfad, den ein Einkäufer anfordern und einsehen darf.

Fragen, die Sie Ihrem Kommunikationsanbieter stellen sollten

Wenn Sie die Einhaltung der EU-CRA-Vorschriften durch einen Anbieter prüfen, fragen Sie nach konkreten Details und geben Sie sich nicht mit bloßen Beteuerungen zufrieden.

• Verfügen sie bereits heute über ein funktionierendes Meldesystem gemäß Artikel 14 – und nicht nur über einen Plan dafür –, da diese Verpflichtung für Produkte gilt, die bereits auf dem Markt sind?

• Wie lange ist der angegebene Supportzeitraum für das Produkt, das Sie kaufen? Fragen Sie ausdrücklich nach, ob dieser Zeitraum so festgelegt wurde, dass er der tatsächlichen erwarteten Nutzungsdauer des Produkts entspricht, und nicht nur dem fünfjährigen CRA-Mindestzeitraum.

• Wie werden sie die Verfügbarkeit von Sicherheitsupdates für jeden von ihnen veröffentlichten Patch nachweisen? Diese Verpflichtung gilt noch Jahre nach jedem einzelnen Update, nicht nur für die Laufzeit des Vertrags.

• Können sie bereits heute eine maschinenlesbare SBOM erstellen, oder steht dies noch auf ihrer Roadmap im Hinblick auf die Frist im Dezember 2027?

• Was passiert im Rahmen des CRA, wenn sie sich irren? Ein Anbieter, der sich nicht klar über sein eigenes Strafrisiko äußern kann, hat sich wahrscheinlich auch keine gründlichen Gedanken über Ihr Risiko gemacht.

Eine Verordnung, die dem Markt die Hand zwingt

Die CRA erfindet weniger einen neuen Standard, als dass sie eine Frage aufwirft, die sich der Markt schon längst hätte stellen sollen: Ist diese Plattform für eine kontinuierliche, nachweisbare Sicherheits-Governance ausgelegt, oder wurde diese Governance erst nachträglich hinzugefügt, als es das Gesetz vorschrieb? Für jede Organisation, die derzeit sensible Aufgaben über eine Plattform koordiniert, die eher aus Bequemlichkeitsgründen als aufgrund ihrer Architektur ausgewählt wurde, ist die in dieser Woche ablaufende Meldefrist ein guter Zeitpunkt, um herauszufinden, um welchen Fall es sich bei der eigenen Plattform handelt.