Die Termine des Cyber Resilience Act: was gilt, und ab wann
Die Verordnung tritt nicht auf einen Schlag in Kraft. Vier Termine, nicht einer — und der, den fast niemand im Kalender hat, ist der erste, der einen Hersteller haftbar macht.
1. Vier Termine, und warum der Gesetzgeber sie getrennt hat
Die Verordnung (EU) 2024/2847 ist seit dem 10. Dezember 2024 in Kraft, doch Art. 71 staffelt ihre Anwendung. Am 11. Juni 2026 gilt das Kapitel zu den Konformitätsbewertungsstellen: es sorgt dafür, dass notifizierte Stellen existieren, bevor jemand eine braucht. Am 11. September 2026 gilt Art. 14 — die Meldung. Am 11. Dezember 2027 gilt alles Übrige.
Die Reihenfolge ist gewollt. Die Behörden wollen den tatsächlichen Schwachstellenverkehr sehen, bevor sie Produktkonformität verlangen: erst wie Sie reagieren, dann wie Sie bauen. Das ist die Umkehrung dessen, woran fast jede Produktrichtlinie gewöhnt hat — und der Grund, warum dieser Kalender überrascht.
Für einen Hersteller heißt das: die zuerst greifende Pflicht betrifft nicht das Produkt, sondern die Organisation. Keiner der vier Termine verschiebt sich mit Unternehmensgröße, Branche oder Umsatz.
2. Was ab dem 11. September 2026 gilt — und was nicht
Art. 14 gilt vollständig: Frühwarnung binnen 24 Stunden, 72-Stunden-Meldung, Abschlussbericht, Nutzerhinweis und Meldung an den Betreuer der Komponente. Fünf getrennte Pflichten, nicht eine — und sie gelten ab jenem Tag für jedes Produkt mit digitalen Elementen, das der Hersteller auf dem Unionsmarkt hat.
Noch nicht anwendbar sind die grundlegenden Anforderungen des Anhangs I, die technische Dokumentation, die EU-Konformitätserklärung und die CE-Kennzeichnung. Ein Produkt ohne CE-Kennzeichnung ist am 11. September 2026 deshalb nicht regelwidrig; es wird es erst, wenn es nach diesem Datum eine ausgenutzte Schwachstelle nicht meldet.
3. Produkte, die schon auf dem Markt sind, haben keinen Freibrief
Das Datum des Inverkehrbringens geht nicht in die Rechnung ein. Ein 2021 ausgeliefertes Produkt löst, sofern noch unterstützt und seine Schwachstelle aktiv ausgenutzt wird, die Pflicht genauso aus wie ein morgen ausgeliefertes. Es zählt der Moment, in dem der Hersteller von der Ausnutzung Kenntnis erlangt.
Es ist die Folge, die am häufigsten zu spät entdeckt wird, weil sie der Intuition widerspricht: man kann von der Produktkonformität weit entfernt sein — keine Kennzeichnung, keine technische Dokumentation — und dennoch für eine unterbliebene Meldung haften. Konformität des Gegenstands und Konformität der Meldepflicht laufen auf getrennten Uhren, und die der Meldung startet zuerst.
4. Was am 11. Dezember 2027 kommt
Ab diesem Datum gilt der Rest der Verordnung: die grundlegenden Cybersicherheitsanforderungen des Anhangs I Teil I, das Verfahren zum Umgang mit Schwachstellen aus Teil II, die technische Dokumentation nach Anhang VII, die Konformitätsbewertung auf dem Weg, den die Klasse des Produkts verlangt, die EU-Erklärung und die CE-Kennzeichnung.
Fünfzehn Monate liegen zwischen den beiden Terminen, und das ist keine großzügige Reserve: bei einem wichtigen Produkt der Klasse II oder einem kritischen Produkt führt der Weg über eine notifizierte Stelle, und deren Kalender bestimmt nicht der Hersteller. Wer 2027 zu starten plant, rechnet mit Marktkapazität, die 2027 umkämpft sein wird.
5. Die Termine, die die Verordnung nicht festlegt
Drei wichtige Dinge haben im Text kein Datum und sind Land für Land zu prüfen. Die Benennung des CSIRT, das Herstellermeldungen entgegennimmt, folgt der nationalen Umsetzung. Die betriebliche Verfügbarkeit der zentralen Meldeplattform hängt von der ENISA und den zugehörigen Rechtsakten ab. Die harmonisierten Normen, die die Selbstbewertung praktikabel machen, erscheinen nach und nach — zum Anwendungsdatum werden nicht alle vorliegen.
Das ist der alternde Teil des Kalenders: die Termine des Art. 71 stehen im Text und verschieben sich nicht, diese schon. Ein Plan, der sie als gesichert behandelt, plant auf einer Gewissheit, die es nicht gibt.
6. Wenn Sie in mehreren Mitgliedstaaten verkaufen
Die Termine sind unionsweit dieselben: die Verordnung gilt unmittelbar, ohne Umsetzung. Was sich von Land zu Land ändert, ist, wer die Meldung erhält — das benannte CSIRT — und in welcher Sprache eingereicht wird.
Das heißt: Der Kalender ist einer, und der Kanal auch. Art. 14 Abs. 7 leitet die Meldung an das CSIRT des Mitgliedstaats, in dem Sie Ihre Hauptniederlassung in der Union haben — und das ist eine. Zugangsdaten, Ansprechpartner und Kanal müssen dennoch für diesen einen Eingang bereitstehen, und keiner dieser Schritte ist in vierundzwanzig Stunden erledigt.
Es ist der einzige Punkt, an dem eine für alle gleiche Frist sehr unterschiedliche Arbeitslast erzeugt. Das kartiert man besser vorher als an dem Tag, an dem man es braucht.
Diese Seite gibt unsere Lesart des Rechtstextes wieder und ist keine Rechtsberatung.