Ab dem 11. September 2026 gilt die Anwendung von Artikel 14 des Cyber-Resilience-Act (CRA). Dann müssen Software-Hersteller aktiv schwerwiegende Sicherheitsvorfälle und ausgenutzte Schwachstellen über die Single-Reporting-Platform der „ENISA“ melden. Diese Plattform ist zwar noch nicht geöffnet. Dennoch können fast alle Entscheidungen, die für eine reibungslose Erstellung des ersten Berichts gemäß den von ENISA im Juli und August 2026 veröffentlichten Leitlinien und der Verordnung erforderlich sind, bereits jetzt getroffen werden, ohne dass eine Anmeldung erforderlich ist. Ein Kommentar von Shane Barney, CISO bei Keeper Security.
„Ab dem 11. September 2026 gilt für Hersteller von Hardware- und Softwareprodukten, die in der EU verkauft werden, eine 24-Stunden-Frist. Jede aktiv ausgenutzte Schwachstelle und jeder schwerwiegende Sicherheitsvorfall, der ein Produkt mit digitalen Elementen betrifft, muss innerhalb eines Tages sowohl der Agentur der Europäischen Union für Cybersicherheit (ENISA) als auch dem deutschen CERT-Bund gemeldet werden. Das gilt auch für bereits auf dem Markt befindliche Bestandsprodukte. Die vollständige Meldung muss spätestens innerhalb von 72 Stunden über die Single-Reporting Platform erfolgen.
Die Meldefrist von 24 Stunden stellt Unternehmen operativ vor eine Herausforderung. Sie setzt voraus, dass ein Unternehmen in Echtzeit weiß, wer wann und mit welchem Berechtigungsniveau mit einem verwundbaren Build interagiert hat. Bei den meisten Herstellern ist diese Voraussetzung nicht erfüllt. Das Schwachstellenmanagement und die CI/CD-Pipelines sind häufig die Bereiche der Software-Lieferkette mit den geringsten Zugriffskontrollen. Sie arbeiten mit gemeinsam genutzten Zugangsdaten, fest hinterlegten Secrets und dauerhaft bestehenden Zugriffsrechten, die niemand regelmäßig überprüft.
In der Keeper-Studie aus dem Jahr 2026 benennen bereits 25 Prozent der deutschen Unternehmen eine eingeschränkte Kontrolle über Zugriffe von Drittanbietern und Dienstleistern als Governance-Lücke. Genau diese Lücke berührt unmittelbar die neue Meldepflicht, denn ein Hersteller kann innerhalb von 24 Stunden keine belastbare Meldung erstellen, wenn er nicht in der Lage ist festzustellen, wer über privilegierte Zugriffsrechte auf die betroffene Komponente verfügte.
Um die Frist in der Praxis einhalten zu können, müssen Unternehmen fest hinterlegte Zugangsdaten aus Build- und DevOps-Pipelines entfernen, die für den Zugriff auf Systeme zur Schwachstellenverwaltung verwendeten Zugangsdaten in einem sicheren Vault verwalten und eine ausreichend detaillierte Audit-Trail-Dokumentation führen, die eine Meldung noch am selben Tag unterstützt. Die grundlegenden Anforderungen des Cyber-Resilience-Act gehen noch weiter: Sie verlangen unter anderem eine angemessene Zugriffskontrolle sowie den Schutz von Authentifizierungsdaten innerhalb des Produkts selbst.
Die Frist im September begünstigt somit Hersteller, die sich rechtzeitig vorbereitet haben, und macht sichtbar, wo entsprechende Vorkehrungen fehlen. Mit der Frist im Dezember 2027 steigen die Anforderungen erneut: Dann müssen diese Erwartungen bereits bei der Entwicklung und Gestaltung des Produkts berücksichtigt sein – also bevor es überhaupt zu einem Sicherheitsvorfall kommt.
#KeeperSecurity
