Ein Datum, das hängen bleibt
Seit dem 11. September 2026 gilt in Europa eine neue Meldepflicht. Das Datum ist kein Signal, es ist Arithmetik: Die Verordnung trat am 10. Dezember 2024 in Kraft, 21 Monate später greift der Meldeteil. In Brüssel hat sich dabei niemand etwas gedacht.
Mir ist es trotzdem aufgefallen.
Was vom 11. September 2001 in der Sicherheitsarbeit hängen geblieben ist, ist nicht das Bild der Türme. Es ist der Befund der Untersuchungskommission: Die entscheidenden Hinweise lagen vor. Sie lagen an verschiedenen Stellen, bei verschiedenen Behörden, und niemand hat sie zusammengeführt. Kein Mangel an Information. Ein Mangel an Weitergabe.
Ein Terroranschlag und eine europäische Produktverordnung sind nicht vergleichbar. Das Muster dahinter ist dasselbe.
Denn eine Schwachstelle, die gerade angegriffen wird, ist fast nie das Problem des einen Unternehmens, das sie bemerkt. Sie steckt im selben Bauteil, in derselben Firmware, die hundert andere ausgeliefert haben. Wer sie für sich behält, schützt sich nicht. Er sorgt nur dafür, dass alle anderen länger nichts davon wissen.
Deshalb schreibt Europa jetzt vor, dass gemeldet wird. Und zwar schnell.
Was seit dem 11. September gilt
Die Verordnung heißt Cyber Resilience Act, kurz CRA. Sie gilt gestaffelt, und die erste Stufe, die wirklich weh tut, ist seit dem 11. September scharf.
Wer ein Produkt mit digitalen Elementen auf den europäischen Markt bringt, muss aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Nicht irgendwann, sondern nach Uhr:
- 24 Stunden für die Frühwarnung
- 72 Stunden für die eigentliche Meldung
- 14 Tage für den Abschlussbericht, sobald eine Korrektur verfügbar ist
- Ein Monat bei einem schwerwiegenden Sicherheitsvorfall
Die Uhr startet nicht mit dem Angriff, sondern mit der Kenntnis. Adressat ist das zuständige CSIRT, in Deutschland CERT-Bund beim BSI, und parallel ENISA. Gemeldet wird über eine gemeinsame europäische Plattform, eine Registrierung im Voraus ist dafür nicht nötig.
Wer damit gemeint ist
Hier wird es für den Mittelstand unangenehm. Hersteller im Sinne der Verordnung ist nicht nur, wer entwickelt und fertigt. Hersteller ist auch, wer ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt. Und wer ein bereits vermarktetes Produkt wesentlich verändert.
Übersetzt: Das Gerät kommt aus Fernost, das Typenschild trägt den eigenen Namen, die Firmware wurde angepasst. Damit ist man Hersteller, mit allem was dazugehört. Konformitätsbewertung, technische Dokumentation, Schwachstellenbehandlung, Meldepflicht.
Importeure und Händler kommen glimpflicher davon, aber nicht ungeschoren. Sie müssen prüfen, ob CE-Kennzeichnung, Konformitätserklärung und Herstellerangaben vorhanden sind, und bei Kenntnis einer Schwachstelle handeln. Der Bußgeldrahmen liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
Warum die 24 Stunden das eigentliche Thema sind
Eine Meldefrist von 24 Stunden ist keine technische Anforderung. Sie ist eine organisatorische.
Die Frage ist nicht, ob die Firewall etwas merkt. Die Frage ist, was am Freitagabend passiert, wenn ein Systemhaus anruft und von einem auffälligen Gerät berichtet. Wer nimmt das entgegen. Wer entscheidet, ob es meldepflichtig ist. Wer darf im Namen des Unternehmens eine Meldung an eine europäische Behörde absetzen. Und wer weiß am Samstagmorgen, dass die Uhr seit 19 Stunden läuft.
In den meisten Unternehmen ist keine dieser vier Fragen beantwortet. Nicht aus Nachlässigkeit, sondern weil sie bisher niemand gestellt hat.
Und im Dezember 2027
Dann gilt der CRA vollständig: Konformitätsbewertung, CE-Kennzeichnung, Sicherheitsanforderungen über den gesamten Produktlebenszyklus. Das sind 15 Monate. Wer sie als Aufschub liest, wird sie brauchen. Wer sie als Vorbereitungszeit liest, hat genug davon.
Drei Antworten sollte man heute geben können:
- Welche unserer Produkte haben digitale Elemente, und unter wessen Namen gehen sie hinaus?
- Wer nimmt eine Schwachstellenmeldung entgegen, auch außerhalb der Bürozeiten?
- Wer darf innerhalb von 24 Stunden melden, und mit welchem Textgerüst?
Der CRA verlangt keine neue Technik. Er verlangt zwei Dinge: dass jemand zuständig ist, und dass Wissen den eigenen Betrieb verlässt, statt darin liegen zu bleiben. Beides kostet weniger als jede Firewall. Beides ist trotzdem seltener geregelt.