Àngela Vercher
Marketingmanagerin Iberien
Àngela Vercher ist Marketingmanagerin mit Erfahrung im Bereich Compliance und Regulierung. Bei Formalize leitet sie das Marketing für Iberien. Sie unterstützt Fachleute aus Compliance, Risikomanagement und Sicherheit dabei, über regulatorische Entwicklungen informiert zu bleiben und praktische Lösungen für ihre täglichen Herausforderungen zu finden.
Das Wichtigste im Überblick:
Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen innerhalb von 24 Stunden eine Frühwarnung übermitteln. Die Frist beginnt, sobald sie von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall erfahren, der die Sicherheit ihres Produkts beeinträchtigt.
Die Pflicht liegt bei den Herstellern und erfasst auch Produkte, die bereits auf dem EU-Markt sind. Reine SaaS-Angebote fallen grundsätzlich nicht in den Anwendungsbereich des CRA. Dasselbe gilt für Produkte mit eigenen sektorspezifischen Vorschriften, etwa Medizinprodukte und Fahrzeuge.
Der CRA führt eine zusätzliche Meldepflicht ein. Er ersetzt keine bestehende Pflicht. Die 72-Stunden-Frist der DSGVO für die Meldung von Verletzungen des Schutzes personenbezogener Daten gilt weiterhin. NIS-2 sieht für erhebliche Sicherheitsvorfälle eine eigene Frühwarnung innerhalb von 24 Stunden vor.
In Spanien wurde NIS-2 noch nicht in nationales Recht umgesetzt. Daher bleibt das Königliche Gesetzesdekret 12/2018 vorerst das maßgebliche Rahmenwerk für die Meldung von Sicherheitsvorfällen.
Am besten können Teams diese Fristen einhalten, wenn sie die entscheidenden Fragen vorab geklärt haben: Wie wird ein Vorfall klassifiziert? Wer entscheidet darüber? Wo wird die Entscheidung dokumentiert?
Aktuelle Schlagzeilen in Spanien formulierten es einfach: Unternehmen haben jetzt 24 Stunden, um einen Cyberangriff zu melden. Diese Aussage ist hilfreich, aber verkürzt. Der Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847, ist seit Dezember 2024 in Kraft. Die erste Pflicht für Hersteller galt jedoch erst ab dem 11. September 2026. Seitdem müssen sie bestimmte Schwachstellen und Vorfälle melden. Die meisten Bestimmungen der Verordnung gelten ab dem 11. Dezember 2027. Dazu gehören die CE-Kennzeichnung und die grundlegenden Cybersicherheitsanforderungen. Die Änderung im September betrifft also nicht jedes Unternehmen und jeden Angriff. In mancher Hinsicht ist sie dennoch anspruchsvoller, weil sie zu bereits bestehenden Meldepflichten vieler Organisationen hinzukommt.
Was sich am 11. September geändert hat
Artikel 14 des CRA verpflichtet Hersteller, zwei Arten von Ereignissen zu melden: aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle, die deren Sicherheit beeinträchtigen. Jede Meldung wird über die zentrale Meldeplattform (Single Reporting Platform) der Agentur der Europäischen Union für Cybersicherheit (ENISA) eingereicht. Sie geht gleichzeitig bei ENISA und dem nationalen Reaktionsteam für Computersicherheitsvorfälle (CSIRT) ein, das als Koordinator benannt wurde. Die Plattform wurde am selben Tag in Betrieb genommen, an dem die Meldepflicht erstmals galt.
Das Meldeverfahren umfasst drei Stufen:
Stufe | Frist | Inhalt |
|---|---|---|
Frühwarnung | Innerhalb von 24 Stunden nach Bekanntwerden | Eine erste Warnung mit Angaben dazu, wo in der EU das Produkt verfügbar ist |
Meldung | Innerhalb von 72 Stunden | Weitere Einzelheiten und eine erste Bewertung |
Abschlussbericht | Bei Schwachstellen: 14 Tage, nachdem eine Lösung zur Behebung oder eine Maßnahme zur Risikominderung verfügbar ist. Bei schwerwiegenden Sicherheitsvorfällen: einen Monat nach der Meldung. | Eine vollständige Beschreibung, die Ursache und die ergriffenen Maßnahmen |
Hersteller müssen außerdem die betroffenen Nutzer und gegebenenfalls alle Nutzer informieren, damit diese sich schützen können. Die Pflicht gilt jedoch nicht rückwirkend. Nach den Leitlinien der Europäischen Kommission müssen Hersteller die Ausnutzung von Schwachstellen nicht nachträglich melden, wenn sie bereits vor dem 11. September davon wussten.
Für wen die Pflicht gilt und für wen nicht
Die 24-Stunden-Pflicht richtet sich an Hersteller von Produkten mit digitalen Elementen. Dazu gehört der Großteil der Hardware und Software, die sich mit einem Gerät oder einem Netzwerk verbindet. Die Pflicht gilt auch für Produkte, die bereits auf dem EU-Markt sind, und nicht nur für neu eingeführte Produkte.
Drei Abgrenzungen werden leicht übersehen:
Reine SaaS-Angebote fallen grundsätzlich nicht in den Anwendungsbereich. Der CRA reguliert Produkte, keine Dienstleistungen. Cloud-Dienste, die ohne installierte Komponente genutzt werden, können je nach Anbieter stattdessen unter die NIS-2-Richtlinie fallen. Installierbare Clients, Agenten oder eine Datenfernverarbeitung, von der ein Produkt abhängt, können jedoch dazu führen, dass ein Angebot doch in den Anwendungsbereich des CRA fällt.
Für einige Sektoren gelten eigene Vorschriften. Produkte, die bereits sektorspezifischen EU-Rechtsvorschriften unterliegen, sind vom CRA ausgenommen. Dazu gehören etwa Medizinprodukte und Fahrzeuge.
Auch kleine Hersteller müssen melden. Nach Angaben der Europäischen Kommission können Kleinstunternehmen und kleine Unternehmen nicht mit einer Geldbuße belegt werden, wenn sie die 24-Stunden-Frist für die Frühwarnung versäumen. Die Pflicht selbst gilt für sie dennoch uneingeschränkt.
Wenn Organisationen Software einkaufen, statt sie selbst zu entwickeln, liegt die Meldepflicht bei ihren Anbietern. Für die einkaufenden Organisationen bleibt sie trotzdem relevant. Eine CRA-Meldung eines Lieferanten sollte in die eigenen Prozesse für das Lieferantenrisikomanagement und die Bearbeitung von Sicherheitsvorfällen einfließen.
Ein Vorfall, drei Meldefristen
An diesem Punkt reicht ein einfacher Vergleich mit dem Datenschutzrecht nicht aus. Die Datenschutz-Grundverordnung (DSGVO) gibt Organisationen 72 Stunden Zeit, um eine Datenschutzverletzung zu melden. Das kann den Eindruck erwecken, der CRA verkürze diese Frist auf 24 Stunden. Tatsächlich gelten beide Fristen nebeneinander. Sie haben unterschiedliche Auslöser, und die Meldungen gehen an unterschiedliche Behörden. Für Organisationen im Anwendungsbereich von NIS-2 kommt eine weitere Pflicht hinzu. Ein einzelner Vorfall kann daher drei getrennte Meldefristen auslösen.
Nehmen wir ein mittelgroßes Softwareunternehmen in Spanien. Ein Angreifer nutzt eine Schwachstelle in einem seiner installierten Produkte aus. Darüber gelangt er in die eigenen Supportsysteme des Unternehmens und kopiert Kundenkontaktdaten. Innerhalb weniger Stunden kann das Unternehmen mit mehreren Meldepflichten konfrontiert sein: einer CRA-Frühwarnung wegen der ausgenutzten Schwachstelle und einer DSGVO-Meldung wegen der betroffenen personenbezogenen Daten. Fällt das Unternehmen unter die nationalen NIS-Vorschriften, kann außerdem eine Meldung wegen eines erheblichen Sicherheitsvorfalls erforderlich sein, der seine Dienste beeinträchtigt.
CRA | NIS-2 | DSGVO | |
|---|---|---|---|
Auslöser | Eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall, der die Produktsicherheit beeinträchtigt | Ein erheblicher Sicherheitsvorfall, der die Dienste einer Einrichtung im Anwendungsbereich beeinträchtigt | Eine Datenschutzverletzung, die voraussichtlich zu einem Risiko für natürliche Personen führt |
Meldepflichtige | Hersteller von Produkten mit digitalen Elementen | Besonders wichtige und wichtige einrichtungen | Verantwortliche |
Erste Frist | Frühwarnung innerhalb von 24 Stunden | Frühwarnung innerhalb von 24 Stunden | Meldung innerhalb von 72 Stunden |
Empfänger | Über die zentrale Meldeplattform von ENISA an das koordinierende CSIRT und ENISA | Das nationale CSIRT oder die zuständige Behörde | Die Datenschutzaufsichtsbehörde, in Spanien die spanische Datenschutzbehörde AEPD |
Die Fristen lassen sich klar benennen. Die schwierige Aufgabe besteht darin, bereits in der ersten Stunde zu entscheiden, welche dieser Rechtsvorschriften gelten. Zu diesem Zeitpunkt liegen nur unvollständige Informationen vor. Die Fristen aller drei Rechtsvorschriften beginnen, sobald die Organisation von dem Ereignis Kenntnis erlangt. Was genau bekannt sein muss, unterscheidet sich jedoch je nach Vorschrift. Diese Entscheidung wird leicht unterschätzt. In vielen Organisationen sind die Kriterien dafür nirgendwo dokumentiert.
Die zusätzliche Herausforderung in Spanien
Für spanische Organisationen kommt eine weitere Schwierigkeit hinzu. Spanien hat die Frist zur Umsetzung von NIS-2 im Oktober 2024 versäumt. Der dafür vorgesehene Gesetzentwurf Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad wurde im Januar 2025 vom Ministerrat gebilligt. Bis Anfang September 2026 war er jedoch noch nicht als Gesetz verabschiedet. Im Juli 2026 verklagte die Europäische Kommission Spanien wegen dieser Verzögerung vor dem Gerichtshof der Europäischen Union.
Bis zur Verabschiedung des neuen Gesetzes bleibt das Königliche Gesetzesdekret 12/2018 das nationale Rahmenwerk für die Meldung von Sicherheitsvorfällen. Konkrete nationale Einzelheiten stehen erst fest, wenn der spanische Gesetzestext endgültig vorliegt. Dazu gehören die zuständige Meldestelle und die geltenden Meldeschwellen. Spanische Teams müssen ihre Planung deshalb auf eine Richtlinie mit feststehendem Inhalt und ein nationales Gesetz stützen, dessen endgültiger Text noch nicht vorliegt. Beim CRA besteht dieses Problem nicht. Als EU-Verordnung gilt er unmittelbar, in Spanien ebenso wie in allen anderen EU-Mitgliedstaaten.
Wird die EU das Meldeverfahren vereinfachen?
Auf EU-Ebene sind diese Überschneidungen bekannt. Im Rahmen ihrer Digital-Omnibus-Vorschläge hat die Europäische Kommission einen einheitlichen Zugang zur Meldung von Sicherheitsvorfällen vorgeschlagen. Er soll auf der CRA-Plattform aufbauen. Eine einzige Meldung könnte so mehrere gesetzliche Pflichten zugleich erfüllen. Zum Zeitpunkt der Erstellung dieses Artikels handelt es sich weiterhin um einen Vorschlag. Auch wenn er angenommen wird, müssen Organisationen weiterhin selbst prüfen, welche Rechtsvorschriften auf einen Vorfall anzuwenden sind. Die jeweils kürzeste anwendbare Frist wäre weiterhin einzuhalten.
Erfahren Sie, wie Ihr Team in der ersten Stunde reagieren würde
Bringen Sie Ihren aktuellen Prozess für Sicherheitsvorfälle mit. Das gilt auch, wenn er bislang nur informell besteht. Wir gehen lieber gemeinsam mit Ihnen ein realistisches Szenario durch, als den Ablauf nur abstrakt zu beschreiben.
Wie Sie sich gut vorbereiten
Gute Vorbereitung erfordert vor allem einige wenige Entscheidungen. Diese sollten ohne Zeitdruck getroffen werden, bevor ein realer Vorfall sie erzwingt. Aus unserer Sicht sind fünf besonders wichtig:
. Eine Checkliste für die Erstbewertung nach allen drei Rechtsvorschriften. Ein kurzer Fragenkatalog prüft in einem Durchgang, ob die Voraussetzungen für Meldepflichten nach CRA, NIS-2 und DSGVO erfüllt sind. So muss die Prüfung nicht in drei getrennten Prozessen jeweils neu beginnen.
Benannte Entscheidungsträger mit Stellvertretungen. Für jede Rechtsvorschrift muss eine Person verantwortlich sein, die über die Meldung entscheidet. Das gilt auch an Wochenenden und Feiertagen. Eine Frist von 24 Stunden verlängert sich deshalb nicht.
Vorbereitungen rechtzeitig abschließen. Halten Sie fest, welche Produkte in welchen EU-Ländern verfügbar sind. Registrieren Sie sich auf der ENISA-Plattform, bevor Sie sie benötigen. Halten Sie die Kontaktdaten der Behörden aktuell.
Jede Entscheidung dokumentieren, auch die Entscheidung gegen eine Meldung. Fragt eine Aufsichtsbehörde später, warum ein Vorfall nicht gemeldet wurde, sollte die Begründung bereits vorliegen. Sie sollte nicht aus dem Gedächtnis rekonstruiert werden müssen.
Den Ablauf anhand eines realistischen Szenarios erproben. Eine Tabletop-Übung mit einem Fall wie dem oben beschriebenen zeigt schnell, wo der Prozess nicht funktioniert.
So unterstützt Formalize Sie dabei
Keine Plattform kann für Sie entscheiden, ob ein Vorfall meldepflichtig ist. Wir reichen auch keine Meldungen in Ihrem Namen ein. Formalize bündelt die vorbereitenden Informationen an einem Ort. So müssen Sie diese nicht erst in der ersten Stunde suchen:
Vorfalldokumentation mit benannten Verantwortlichen und Fristen, einschließlich der Begründung für jede Meldeentscheidung.
Richtlinien und Kontrollen für Ihre Reaktion auf Sicherheitsvorfälle, mit klaren Verantwortlichkeiten, dokumentiert und aktuell gehalten.
Ihre Arbeit zu NIS-2 und DSGVO im selben System, statt in separaten Tools, die jeweils einzeln aktualisiert werden müssen.
Lieferantendaten mit Verknüpfungen zu Ihrem Risikomanagement, damit die Sicherheitsmeldung eines Anbieters in das Risikomanagement einbezogen werden kann.
Entwickeln Sie als Beratungsunternehmen Leistungen zum Cyber Resilience Act für Ihre Kunden? Wir arbeiten bei der Entwicklung mit Partnern zusammen, die das technische Fachwissen einbringen. Der Einstieg erfolgt über das Formalize-Partnerprogramm
Dieser Artikel dient ausschließlich der Information und stellt keine Rechtsberatung dar.