Cyber Resilience Act: Was ab 11. September 2026 gilt

Was der Cyber Resilience Act regelt

Formell heißt er Verordnung (EU) 2024/2847, in Kraft seit Dezember 2024. Weil es eine Verordnung ist und keine Richtlinie, braucht Österreich kein eigenes Umsetzungsgesetz – sie gilt direkt. Der Gesetzgeber muss nur noch die zuständigen Behörden benennen.

Die Idee dahinter ist simpel: Jedes Produkt, das in der EU verkauft wird und mit einem Gerät oder Netz verbunden ist, soll ein Mindestmaß an Sicherheit mitbringen. Und der Hersteller bleibt dafür über den gesamten Lebenszyklus verantwortlich, nicht nur bis zum Verkauf. Die Bandbreite reicht laut WKO von Babyphones und Smartwatches über PC-Spiele bis zu Routern und Firewalls. Reine Softwareprodukte sind ausdrücklich mit dabei.

Der Zeitplan im Überblick 

Der 11. September 2026 ist der Termin, der jetzt zählt. Alles andere hat noch gut ein Jahr Vorlauf.

Bist du betroffen?

Das ist die Frage, an der sich die meisten Texte zum Thema vorbeischwindeln. Die Verordnung kennt keine größenabhängigen Ausnahmen – ein Ein-Personen-Unternehmen fällt genauso darunter wie ein Konzern. Entscheidend ist nicht, wie groß du bist, sondern ob du ein Produkt in Verkehr bringst.

Wahrscheinlich nicht betroffen bist du, wenn:

• Du eine Website oder einen Webshop für dein eigenes Unternehmen betreibst. Eine Website ist kein Produkt mit digitalen Elementen.
• Du eine reine Dienstleistung anbietest. Reine Dienstleistungen sind ausdrücklich ausgenommen.
• Du als Agentur Websites für Kundinnen und Kunden baust, ohne ein eigenes Produkt zu vertreiben.
• Du Open-Source-Software ohne kommerzielle Absicht veröffentlichst. Erst wenn freie Software im Rahmen einer kommerziellen Tätigkeit bereitgestellt wird, greift der CRA.

Betroffen bist du dagegen, wenn:

• Du Software als Produkt verkaufst – ein kostenpflichtiges WordPress-Plugin, ein Theme, eine App, ein Desktop-Tool.
• Du vernetzte Hardware herstellst, importierst oder als Händler weitergibst.
• Deine Software als funktionaler Bestandteil eines Produkts ausgeliefert wird. Ein SaaS-Angebot ist zwar grundsätzlich ausgenommen, ein Cloud-Backend aber nicht, wenn das Gerät ohne diese Fernverarbeitung eine seiner Funktionen verliert.

Der Graubereich: Zwischen „reine Dienstleistung" und „Produkt" liegt eine Zone, in der es auf den Einzelfall ankommt. Die EU-Kommission hat dazu im Sommer 2026 eine ausführliche Auslegungshilfe veröffentlicht. Wenn du dort landest, ist eine rechtliche Einschätzung gut investiertes Geld.

Die Meldepflicht ab 11. September 2026

Ab diesem Datum müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Wichtig: Das gilt auch für Produkte, die längst verkauft sind.

Die Meldung läuft dreistufig:

1. Innerhalb von 24 Stunden: Frühwarnung, sobald du von der ausgenutzten Schwachstelle oder dem Vorfall erfährst.
2. Innerhalb von 72 Stunden: Folgemeldung mit weiteren Informationen und ersten Maßnahmen.
3. Abschlussbericht: Bei Schwachstellen spätestens 14 Tage nach Bereitstellung eines Sicherheitsupdates oder Workarounds, bei Sicherheitsvorfällen einen Monat nach der Erstmeldung.

Gemeldet wird über die zentrale europäische CRA Single Reporting Platform. Von dort geht die Meldung automatisch an CERT.at als zuständiges österreichisches CSIRT und an die EU-Agentur ENISA weiter.

Zum aktuellen Stand: Die Meldeplattform war Ende August 2026 nach Medienberichten noch nicht produktiv – die Rechtspflicht gilt trotzdem ab dem Stichtag. Prüf also kurz vor dem 11. September, welcher Meldeweg tatsächlich offen ist.

Was du dafür brauchst, ist weniger ein Dokument als ein funktionierender Ablauf: Wer nimmt Schwachstellenmeldungen entgegen, wer entscheidet über die Einstufung, wer darf im Namen des Unternehmens melden. 24 Stunden sind kurz, wenn diese Fragen erst im Ernstfall geklärt werden.

Was ab Dezember 2027 dazukommt

Ab 11. Dezember 2027 müssen Produkte, die neu in Verkehr gebracht werden, alle Anforderungen erfüllen:

• Security by Design und Security by Default: Sicherheit wird schon in der Entwicklung mitgedacht. Keine schwachen Standardpasswörter, verschlüsselte Datenübertragung, automatische Sicherheitsupdates.
• Risikobewertung und technische Dokumentation: Inklusive einer Software Bill of Materials (SBOM), also einer Liste aller verwendeten Bibliotheken und Komponenten. Die SBOM muss nicht veröffentlicht werden, aber für die Marktüberwachungsbehörden verfügbar sein.
• Konformitätserklärung und CE-Kennzeichnung: Bei den meisten Produkten genügt eine Selbstbewertung durch den Hersteller.
• Sicherheitsupdates über den Supportzeitraum: In der Regel fünf Jahre.

Produktklassen und Strafen

Der Aufwand hängt an der Risikoklasse:

Bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen sieht die Verordnung Strafen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes vor. Für andere Verstöße liegt der Rahmen bei bis zu 10 Millionen Euro oder 2 %, bei falschen Angaben gegenüber Behörden bei bis zu 5 Millionen Euro oder 1 %.

Cyber Resilience Act und NIS2

Die beiden werden oft verwechselt, regeln aber Unterschiedliches:

• Der CRA regelt Produkte. Er betrifft dich, wenn du Hard- oder Software auf den Markt bringst.
• NIS2 regelt Organisationen. In Österreich setzt das NISG 2026 die Richtlinie um: Ab 1. Oktober 2026 gelten für rund 4.000 Unternehmen ab mittlerer Größe aus 18 Sektoren verpflichtende Sicherheitsmaßnahmen und Meldepflichten.

Beide können gleichzeitig greifen. Ein Hersteller von Netzwerktechnik, der selbst in einem NIS2-Sektor tätig ist, erfüllt zwei Regelwerke nebeneinander.

Deine nächsten Schritte 

1. Klär die Grundfrage: Bringst du ein Produkt in Verkehr oder erbringst du eine Dienstleistung? Davon hängt alles Weitere ab.
2. Wenn ja: Portfolio einordnen. Welches deiner Produkte fällt in welche Klasse? Die Einstufung bestimmt den gesamten Aufwand.
3. Meldeprozess aufsetzen. Eine benannte Person, ein klarer Eskalationsweg, ein vorbereiteter Meldetext. Das ist bis 11. September machbar.
4. SBOM beginnen. Bis 2027 ist Zeit, aber der Aufbau dauert. Wer heute anfängt, hat es später leichter.
5. Förderungen prüfen. Österreich nimmt am europäischen SECURE-Projekt teil, das KMU mit Mitteln und Schulungen bei der CRA-Vorbereitung unterstützt.
6. Bei Unsicherheit fragen. Die WKO bietet laufend Webinare und Workshops zum Thema an.

Und unabhängig davon, ob dich der CRA betrifft: Eine solide technische Basis für deine Website ist ohnehin sinnvoll. Aktuelle PHP-Versionen, regelmäßige Backups und ein gültiges SSL-Zertifikat kosten wenig Aufwand und ersparen viel.