Cyber Resilience Act Meldepflicht: 24-Stunden-Prozess für die Fertigung
KI-SymbolbildSymbolbild, mit KI erstellt.
Die Cyber Resilience Act 24-Stunden-Meldepflicht gilt in der Praxis bereits, und sie trifft Maschinenbauer und Serienproduzenten mit eigener Steuerungssoftware direkt. Laut Produktion (Redaktion, 2026) müssen Hersteller vernetzter Produkte, auch von Produktionsmaschinen, ab dem 11. September 2026 entdeckte Schwachstellen binnen 24 Stunden melden, zugekaufte Komponenten und Software eingeschlossen (https://www.produktion.de/instandhaltung/schwachstellenmanagement-neue-pflichten-ab-september/2715489). Für einen Betrieb mit 10 bis 500 Mitarbeitern heißt das: Ein Tag ist knapp bemessen, also muss vorher feststehen, wer was tut.
Definition: Laut Produktion (2026) verpflichtet die 24-Stunden-Meldepflicht des Cyber Resilience Act (CRA) Hersteller vernetzter Produkte, entdeckte Schwachstellen innerhalb von 24 Stunden zu melden. Eingeschlossen sind danach auch Produktionsmaschinen sowie zugekaufte Komponenten und Software (https://www.produktion.de/instandhaltung/schwachstellenmanagement-neue-pflichten-ab-september/2715489).
Fristen und Meldeweg: Was der CRA konkret verlangt
Laut ENISA (FAQ, 15. Oktober 2026) muss die Frühwarnung "without undue delay and in any case within 24 hours" erfolgen, die Meldung "within 72 hours of becoming aware"; das als Koordinator benannte CSIRT nimmt Meldungen entgegen und prüft sie (https://www.enisa.europa.eu/node/19439). Die IHK Nürnberg für Mittelfranken (2026) beschreibt es so: Für die erste Meldung gilt eine Frist von 24 Stunden, weitere Informationen folgen innerhalb von 72 Stunden, gemeldet wird an die von ENISA betriebene europäische Meldeplattform (https://www.ihk-nuernberg.de/meldungen/details/cyber-resilience-act-cra-meldepflichten-ab-11-september-2026).
Wir halten es für sinnvoll, intern klar festzulegen, wann ein Verdachtsfall als meldepflichtig behandelt wird. Im Zweifel gehört diese Einordnung vor dem Ernstfall rechtlich geprüft, nicht erst während der 24 Stunden.
Als Grundlage für den internen Prozess nennt Produktion (2026) die Normen ISO/IEC 27001 oder IEC 62443-4-1. Wer eine davon schon nutzt, muss nicht bei null anfangen.
| Rolle | Aufgabe im Meldeprozess | Entscheidungsfrage |
|---|---|---|
| Geschäftsführung | Verantwortliche benennen, Budget freigeben | Welche unserer Produkte enthalten Software? |
| Abteilungsleitung | Maschinen- und Softwareinventar pflegen, Lieferanten einbinden | Welche Komponenten stammen von Dritten? |
| Operative Mitarbeiter | Auffälligkeiten an genau eine Stelle weitergeben | Wohin melde ich, wenn eine Steuerung sich ungewöhnlich verhält? |
Geschäftsführung: Zuständigkeit und Geltungsbereich klären
Die erste Entscheidung betrifft den Geltungsbereich. Die zitierten Quellen adressieren Hersteller vernetzter Produkte. Wir vermuten, dass ein Auftragsfertiger, der Maschinen nur betreibt und nicht selbst in Verkehr bringt, nicht Adressat der Herstellerpflichten ist; das ist eine Hypothese und gehört im Einzelfall rechtlich geprüft. Wer dagegen Sondermaschinen, Vorrichtungen mit Steuerung oder Software-Updates für Kunden liefert, sollte von der Pflicht ausgehen.
Wir raten davon ab, zuerst ein Werkzeug zu beschaffen. Ohne benannte Verantwortliche und eine Vertretung für Nachtschicht und Urlaub löst auch die beste Software keine Meldung aus. Die Geschäftsführung benennt deshalb zwei Personen mit Entscheidungsbefugnis und legt fest, wer die Meldung an die europäische Plattform auslöst. Wie sich das mit weiteren Pflichten rund um KI in der Fertigung verzahnt, steht im Beitrag KI-Omnibus 2026: Pflichten für die Fertigung.
Abteilungsleitung: Inventar, Lieferanten und Fristenlogik
Konstruktion, Instandhaltung und Einkauf liefern die Grundlage. Ohne Liste der verbauten Steuerungen, Firmware-Stände und zugekauften Module weiß niemand innerhalb von Stunden, ob eine gemeldete Lücke das eigene Produkt betrifft. Da zugekaufte Komponenten laut Produktion (2026) eingeschlossen sind, gehört in jeden Liefervertrag eine Pflicht des Lieferanten, Schwachstellen unverzüglich mitzuteilen. Das ist unsere Empfehlung, keine gesetzliche Vorgabe aus den genannten Quellen.
Die Fristenlogik sollte jede Abteilung einmal durchrechnen. Rechenbeispiel (hypothetisch): Angenommen, ein Betrieb arbeitet im Einschichtbetrieb von 6:00 bis 14:30 Uhr und erfährt um 14:30 Uhr von einer Schwachstelle. Dann liefen die 24 Stunden bis 14:30 Uhr des Folgetags. In diesem Modell lägen nur 8,5 dieser 24 Stunden in der Arbeitszeit, die übrigen 15,5 Stunden außerhalb der Schicht.
Wir halten daher einen Bereitschaftsweg außerhalb der Schicht für sinnvoll. Wer Prüfung, Entscheidung und Meldung allein in die reguläre Arbeitszeit legt, hätte in diesem Modell nur 8,5 Stunden dafür. Betriebe, die Maschinendaten bereits für Zustandsüberwachung nutzen, können dieselben Quellen für das Inventar verwenden; dazu mehr im Beitrag Predictive Maintenance in Fertigungsbetrieben. Wir halten es außerdem für sinnvoll, mögliche Wartungsfenster schon vorab mit der Produktionsplanung und den Rüstzeiten abzustimmen, damit im Ernstfall nicht erst darüber verhandelt werden muss.
Operative Mitarbeiter: Eine Meldestelle, vier Angaben
An der Maschine entscheidet sich, ob eine Auffälligkeit überhaupt ankommt. Bediener und Servicetechniker müssen keine Schwachstelle bewerten. Sie brauchen einen einzigen Weg, etwa ein Formular oder eine feste Rufnummer, und vier Angaben:
- Maschine oder Anlage mit Standort
- Beobachtung (zum Beispiel unerwartete Fernzugriffe oder Steuerungsneustarts)
- Zeitpunkt der Feststellung, denn ab Kenntnis laufen die Fristen
- Name der meldenden Person für Rückfragen
Das Incident-Handling der IT kann Vorbild sein; Grundzüge zeigt der Beitrag Incident Management automatisieren.
Was KI-Automatisierung an dieser Stelle nicht löst: Ob eine Schwachstelle ausnutzbar ist und ob gemeldet wird, bleibt eine Entscheidung von Menschen. Automatisieren lassen sich Erfassung, Weiterleitung, Fristenuhr und Dokumentation. KImpuls analysiert Geschäftsprozesse, findet Ineffizienzen und berechnet Optimierungspotenziale mit ROI. Die Plattform wird auf die Abläufe des jeweiligen Betriebs konfiguriert.
Fazit
Die Meldepflicht ist eine Organisationsaufgabe. Die Geschäftsführung benennt Verantwortliche und Vertretung, die Abteilungsleitung pflegt Inventar und Lieferantenpflichten, die Mitarbeiter an der Maschine kennen einen einzigen Meldeweg. Beginnen Sie mit dem Inventar, denn ohne Überblick über Ihre Software lässt sich keine Frist einhalten.
Häufig gestellte Fragen
Was verlangt die CRA-Meldepflicht in den ersten 24 Stunden? Laut ENISA (2026) muss die Frühwarnung "without undue delay and in any case within 24 hours" erfolgen, die Meldung "within 72 hours of becoming aware" (https://www.enisa.europa.eu/node/19439). Die Frist beginnt mit der Kenntnis, auch außerhalb der Arbeitszeit.
Seit wann gilt die Meldepflicht? Laut Produktion (2026) gilt sie ab dem 11. September 2026 (https://www.produktion.de/instandhaltung/schwachstellenmanagement-neue-pflichten-ab-september/2715489).
Wohin wird gemeldet? Laut IHK Nürnberg für Mittelfranken (2026) an die von ENISA betriebene europäische Meldeplattform (https://www.ihk-nuernberg.de/meldungen/details/cyber-resilience-act-cra-meldepflichten-ab-11-september-2026). Laut ENISA (2026) nimmt das als Koordinator benannte CSIRT Meldungen entgegen und prüft sie.
Welche Norm hilft beim Aufbau des Prozesses? Produktion (2026) nennt ISO/IEC 27001 oder IEC 62443-4-1 als Grundlage (https://www.produktion.de/instandhaltung/schwachstellenmanagement-neue-pflichten-ab-september/2715489). Ob Ihr Betrieb Hersteller im Sinne des CRA ist, sollten Sie rechtlich prüfen lassen.
Hinweis zur Erstellung
Dieser Beitrag und sein Titelbild wurden mit Unterstützung künstlicher Intelligenz erstellt und vor der Veröffentlichung redaktionell geprüft. Abgebildete Motive sind Symbolbilder. Wie wir KI einsetzen — auch in der Prozessdiagnose selbst — steht unter KI-Transparenz. Redaktionelle Freigabe: Jens Schöberling.