Das Wort Hersteller meint jetzt Sie

Der EU Cyber Resilience Act trat im Dezember 2024 in Kraft, und seine Definition eines Herstellers ist weiter gefasst, als die meisten Vorstände annehmen. Er erfasst jedes Produkt mit digitalen Elementen, das auf dem europäischen Markt bereitgestellt wird: eine vernetzte Maschine, eine industrielle Steuerung, ein Medizinprodukt, ein Verbrauchergerät oder ein eigenständiges Stück Software. Wenn Ihr Produkt mit einem Netzwerk kommuniziert, fällt es in den Anwendungsbereich, und ebenso die Importeure und Händler, die es in Verkehr bringen.

Für ein Family Office oder einen Mittelstand-Eigentümer ist die Neueinstufung der unbequeme Teil. Ein Unternehmen, das über drei Generationen Präzisionsmaschinen gebaut und sich nie als Softwareunternehmen bezeichnet hat, ist in den Augen des EU-Rechts nun ein regulierter Softwareanbieter. Die Regel reicht zudem über die Union hinaus. Ein Hersteller mit Sitz irgendwo auf der Welt, der in den europäischen Markt verkauft, trägt dieselben Pflichten wie einer mit Sitz in Frankfurt.

Eine 24-Stunden-Uhr, die Sie nicht steuern

Die erste harte Frist ist nah. Ab dem 11. September 2026 setzt eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall eine feste Meldekaskade über eine einzige europäische Plattform in Gang. Eine Frühwarnung ist innerhalb von 24 Stunden fällig, eine ausführlichere Benachrichtigung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen nach Bereitstellung einer Behebung oder Umgehungslösung. Die Uhr wartet nicht auf Ihre rechtliche Prüfung oder Ihren Kommunikationsplan.

Dieses Timing ist der operative Schock. Das 24-Stunden-Fenster öffnet sich im schlimmsten Moment eines Vorfalls, wenn die Informationen unvollständig sind und der Instinkt darin besteht, nichts zu sagen, bis die Fakten klar sind. Der Act nimmt diese Option weg. Eine Organisation, die eine Schwachstelle nicht innerhalb eines Tages erkennen, einordnen und melden kann, wird die Frist verfehlen, nicht aus mangelndem guten Willen, sondern weil sie nie die Mechanik aufgebaut hat, um so schnell zu handeln.

CE-Kennzeichnung und ein Bußgeld in Höhe Ihres Umsatzes

Die weiteren Pflichten folgen am 11. Dezember 2027. Ab diesem Datum braucht ein Produkt mit digitalen Elementen eine CE-Kennzeichnung, die bescheinigt, dass es nach dem Prinzip Security by Design gebaut wurde, ohne bekannte ausnutzbare Mängel ausgeliefert wird und über einen definierten Unterstützungszeitraum Sicherheitsupdates erhält. Konformität ist keine einmalige Prüfung vor dem Marktstart, sie ist eine Pflicht, die über die unterstützte Lebensdauer jeder von Ihnen verkauften Einheit läuft.

Die Durchsetzung hat Gewicht. Nationale Marktüberwachungsbehörden überwachen die Regeln, und Deutschland hat bereits einen ersten Gesetzentwurf vorgelegt, um seine zuständige Behörde zu benennen. Bußgelder für das Verfehlen der Kernanforderungen reichen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für einen profitablen mittelständischen Hersteller ist die Umsatzzahl diejenige, die den Raum fokussieren sollte.

Weiterlesen: Ist Ihre Cyberabwehr bereit für Angriffe in Maschinengeschwindigkeit?  ·  Ihre Verschlüsselung läuft ab