CRA-Meldepflichten starten heute: Eine neue Phase für die Produktsicherheit

Ab dem 11. September 2026 treten neue Meldepflichten gemäß dem EU-Gesetz zur Cyber-Resilienz (CRA) in Kraft. Für Hersteller von Produkten mit digitalen Komponenten bedeutet dies einen wichtigen Schritt hin zu einem strukturierteren Schwachstellenmanagement, klareren Zuständigkeiten und einer engeren Zusammenarbeit entlang der gesamten Technologie-Lieferkette. Für das Wireless-IoT-Ökosystem schaffen die neuen Anforderungen einen Rahmen zur Verbesserung der Produktsicherheit über den gesamten Lebenszyklus hinweg.

Der heutige Tag, der 11. September 2026, markiert einen wichtigen Meilenstein bei der Umsetzung des EU-Gesetzes zur Cyber-Resilienz. Für Hersteller hat dieses Datum praktische Bedeutung: Sobald eine meldepflichtige Schwachstelle oder ein schwerwiegender Sicherheitsvorfall bekannt wird, beginnen strenge Meldefristen.

Die neuen Verpflichtungen bringen mehr Struktur in das Schwachstellenmanagement für vernetzte Produkte. Cybersicherheit beschränkt sich nicht mehr nur auf ein sicheres Produktdesign. Hersteller müssen zudem in der Lage sein, Schwachstellen während des gesamten Produktlebenszyklus effizient zu identifizieren, zu bewerten, zu kommunizieren und darauf zu reagieren.

CRA-Meldepflicht auf einen Blick

Das CRA legt klare Fristen für meldepflichtige Fälle fest:

• 11. September 2026: Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle treten in Kraft.

• Innerhalb von 24 Stunden: Hersteller müssen eine Frühwarnung einreichen, sobald sie Kenntnis von einem meldepflichtigen Fall erhalten haben.

• Innerhalb von 72 Stunden: Es folgt eine ausführlichere Meldung der Schwachstelle oder des Vorfalls.

• Abschlussbericht: Bei aktiv ausgenutzten Schwachstellen ist dieser 14 Tage nach Verfügbarkeit von Abhilfemaßnahmen oder Maßnahmen zur Risikominderung erforderlich. Bei schwerwiegenden Vorfällen beträgt die Frist einen Monat nach der Erstmeldung.

• Kundeninformation: Betroffene Kunden und gegebenenfalls Nutzer müssen relevante Informationen über Abhilfemaßnahmen oder Korrekturmaßnahmen erhalten.

Das umfassendere CRA-Rahmenwerk wird schrittweise eingeführt. Die wichtigsten Verpflichtungen, einschließlich der Anforderungen an die Konformitätsbewertung und die CE-Kennzeichnung, treten am 11. Dezember 2027 in Kraft.

Ein stärkerer Rahmen für Wireless-IoT-Sicherheit

Für das Ökosystem des drahtlosen IoT sind die neuen Anforderungen von besonderer Bedeutung.

RFID-Lesegeräte, drahtlose Gateways, Sensoren, Steuerungen, Edge-Geräte und andere vernetzte Produkte vereinen zunehmend Hardware, Firmware, Software und Kommunikationsschnittstellen. Eine Schwachstelle in einer Komponente kann daher Auswirkungen auf ein gesamtes Gerät oder System haben.

Die CRA bettet das Sicherheits- und Schwachstellenmanagement über den gesamten Produktlebenszyklus hinweg in einen regulatorischen Rahmen ein. Für Hersteller im Bereich des drahtlosen IoT bedeutet dies, nicht nur einzelne Komponenten zu verstehen, sondern auch, wie Hardware, Firmware, Software und Konnektivität innerhalb des fertigen Produkts zusammenwirken.

Genaue Produktinformationen gewinnen zunehmend an Bedeutung. SBOMs (Software Bills of Materials), Produktkennungen, Softwareversionen, Bereitstellungsaufzeichnungen und Lieferantenkontakte können Herstellern helfen, schnell festzustellen, ob eine neu entdeckte Sicherheitslücke ein bestimmtes Produkt oder ein installiertes System betrifft.

Das Ergebnis kann mehr Transparenz und eine schnellere Koordination entlang der gesamten Lieferkette sein.

Wie das PSIRT von NXP die Schwachstellenbearbeitung unterstützt

NXP hat einen strukturierten Ansatz für das Schwachstellenmanagement auf der Ebene der Komponentenlieferanten etabliert. Das Product Security Incident Response Team (PSIRT) des Unternehmens dient als öffentliche Anlaufstelle für potenzielle Schwachstellen, die NXP-Produkte betreffen. Es koordiniert die Zusammenarbeit mit Technik-, Produkt- und Sicherheitsspezialisten, um gemeldete Probleme zu bewerten und die entsprechenden Maßnahmen zu unterstützen.

Je nach Fall kann dies Anleitungen zur Risikominderung, Workarounds, Software-Updates, Kundenkommunikation oder andere Korrekturmaßnahmen umfassen.

Solche Strukturen bilden eine wichtige Brücke zwischen Komponentenlieferanten und Produktherstellern. NXP bewertet und behandelt Sicherheitsprobleme, die seine eigenen Produkte betreffen, während die Hersteller von Endprodukten weiterhin dafür verantwortlich sind, die Auswirkungen auf ihre Systeme zu bewerten und die für sie geltenden Verpflichtungen zu erfüllen.

Im Bereich Wireless IoT stärkt dies die Zusammenarbeit zwischen Halbleiterlieferanten, Modulherstellern, Geräteanbietern und Systemanbietern.

Was Produkthersteller jetzt vorbereitet haben sollten

Mit dem Beginn der CRA-Meldungen wird die Vorbereitung zu einem operativen Vorteil.

Hersteller sollten bereits über klar definierte Zuständigkeiten für die Schwachstellenbewertung, die technische Untersuchung, die behördliche Meldung und die Kundenkommunikation verfügen. Eskalationswege sollten dokumentiert sein, und Sicherheitskontakte zu wichtigen Komponenten- und Softwarezulieferern sollten jederzeit verfügbar sein.

Die Schwachstellenkanäle der Lieferanten sollten zudem mit den internen Sicherheitsprozessen verknüpft sein. Produkt-, Komponenten- und Softwareinformationen müssen gepflegt werden, damit potenziell betroffene Produkte schnell identifiziert werden können.

Angesichts einer 24-stündigen Vorwarnfrist können diese Strukturen nicht erst nach Eintreten eines Vorfalls geschaffen werden.

Das Ziel ist klar: Wenn ein Sicherheitsproblem auftritt, sollten die zuständigen Teams bereits wissen, wer handeln muss, wo die relevanten Informationen zu finden sind und wie die nächsten Schritte koordiniert werden.

Das Ziel: Schnellere Reaktionen und resilientere Produkte

Der Cyber Resilience Act schafft einen gemeinsamen Rahmen zur Stärkung der Cybersicherheit vernetzter Produkte in Europa.

Ziel ist es, Schwachstellen effektiver zu erkennen und zu beheben, die Kommunikation zwischen Zulieferern und Herstellern zu verbessern und Kunden schneller mit relevanten Informationen zu versorgen.

Für die Wireless-IoT-Branche kann dies das Vertrauen in vernetzte Produkte stärken und die Cybersicherheit noch fester als Teil der Produktentwicklung, der Bereitstellung und des langfristigen Supports verankern.

Letztendlich wird der Wert des CRA nicht einfach an der Anzahl der eingereichten Meldungen gemessen. Seine Wirkung hängt davon ab, ob er zu besser vorbereiteten Herstellern, einer engeren Zusammenarbeit mit Zulieferern, einer schnelleren Reaktion auf Schwachstellen und widerstandsfähigeren vernetzten Produkten über ihren gesamten Lebenszyklus hinweg führt.

Bereiten Sie sich auf die nächste Phase des Cyber Resilience Act vor. NXP bietet Informationen und Anleitungen, um Produktherstellern dabei zu helfen, die CRA-Anforderungen zu verstehen, Prozesse zum Schwachstellenmanagement zu stärken und vernetzte Produkte auf langfristige Cybersicherheitsanforderungen vorzubereiten.

Entdecken Sie die Ressourcen von NXP zum Cyber Resilience Act:
https://www.nxp.com/applications/technologies/security/eu-cyber-resilience-act-cra:CYBER-RESILIENCE-ACT

Bei potenziellen Schwachstellen, die NXP-Produkte betreffen, wenden Sie sich bitte an das NXP Product Security Incident Response Team (PSIRT) über den öffentlichen Kanal zur Meldung von Schwachstellen: https://www.nxp.com/support/support/product-security-vulnerability:PSIRT