Für Hersteller digitaler Produkte gelten seit dem 11. September 2026 die ersten Pflichten des Cyber Resilience Acts (CRA). Darauf weist der Verband der Elektrotechnik Elektronik Informationstechnik (VDE) hin. Unternehmen müssen sicherstellen, dass sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle erkennen, bewerten und innerhalb der vorgeschriebenen Fristen melden können.
Nach Angaben von Alexander Matheus, Senior Expert Smart Technologies und Information Security beim VDE Institut, sind dafür Abläufe und geregelte Zuständigkeiten erforderlich. Hersteller müssen vorbereitet sein, um bei sicherheitsrelevanten Ereignissen schnell reagieren und die zuständigen Stellen rechtzeitig informieren zu können.
Die Meldepflicht betrifft aktiv ausgenutzte Sicherheitslücken sowie schwerwiegende Vorfälle, die die Sicherheit eines Produkts mit digitalen Elementen beeinträchtigen. Weil die gesetzlichen Zeitfenster kurz sind, kommt es auf funktionierende interne Prozesse an. Informationen müssen zügig zusammengeführt, Risiken bewertet und Meldungen fristgerecht übermittelt werden.
