Was ab dem 11. Dezember 2027 dazukommt

Der Cyber Resilience Act tritt gestaffelt in Kraft. Die Meldepflichten nach Artikel 14 gelten ab dem 11. September 2026 — und zwar auch für Produkte, die bereits ausgeliefert sind. Die übrigen Herstellerpflichten greifen ab dem 11. Dezember 2027.

Wer den ersten Stichtag als Einzelereignis behandelt, baut die Meldefähigkeit auf und steht ein Jahr später wieder am Anfang. Sinnvoller ist, die Meldung als ersten Baustein einer Produktakte zu betrachten, die anschließend ohnehin verlangt wird.

Produkte mit digitalen Elementen müssen die grundlegenden Cybersicherheitsanforderungen des Anhangs I erfüllen, ein Konformitätsbewertungsverfahren durchlaufen und eine EU-Konformitätserklärung tragen. Die technische Dokumentation nach Anhang VII muss das belegen.

Dazu gehört eine Stückliste der Softwarebestandteile, die zumindest die Abhängigkeiten der obersten Ebene erfasst. Ebenso gehört dazu ein festgelegter Supportzeitraum, in dem Schwachstellen behoben werden — in der Regel mindestens fünf Jahre, kürzer nur, wenn die erwartete Nutzungsdauer des Produkts kürzer ist.

Über die gesamte Zeit gilt außerdem: Schwachstellen sind unverzüglich zu beheben, Sicherheitsupdates sind bereitzustellen und Nutzer sind über verfügbare Aktualisierungen zu informieren.

Drei Dinge lohnen sich unabhängig vom Stichtag: eine belastbare Liste der eigenen Produkte samt Versionen und Supportzeitraum, eine Stückliste je Release, und ein festgelegter Ablauf, wer im Ernstfall innerhalb von 24 Stunden erreichbar ist und melden darf.

Der letzte Punkt ist der, an dem es in der Praxis scheitert. Eine Frist von 24 Stunden ist keine Aufgabe für die nächste Sprintplanung, sondern für eine benannte Person mit Vertretung.