Fristen
Der Fahrplan der Cyberresilienz-Verordnung: was ab wann gilt
Stand August 2026, geprüft anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.
Die meisten Darstellungen der Cyberresilienz-Verordnung enden bei dem Satz, alles gelte ab Dezember 2027. Das ist auf gefährliche Weise falsch: Artikel 71 Abs. 2 zieht zwei Blöcke vor. Kapitel IV, der Rahmen für die notifizierten Stellen, gilt ab dem 11. Juni 2026, und die Meldepflichten des Artikels 14 treffen Hersteller ab dem 11. September 2026. Die Marktüberwachung und alles Übrige warten auf den 11. Dezember 2027.
11. Juni 2026: der Rahmen für die notifizierten Stellen steht
Kapitel IV der Verordnung regelt die Notifizierung von Konformitätsbewertungsstellen, nicht die Durchsetzung: Die Mitgliedstaaten benennen notifizierende Behörden, und Bewertungsstellen können gelistet werden, um Konformitätsprüfungen für die Klasse II nach Anhang III und für Anhang IV zu übernehmen. Für Hersteller entsteht daraus noch keine Pflicht; die Bedeutung ist eine praktische. Braucht Ihr Produkt im Dezember 2027 eine notifizierte Stelle, so bilden sich die Warteschlangen, in die Sie sich einreihen werden, schon jetzt.
„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“
11. September 2026: die Meldepflichten beginnen
Ab diesem Tag melden Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an das als Koordinator benannte CSIRT und an die ENISA:
- 24 Stunden: Frühwarnung, nachdem sie Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall erlangt haben;
- 72 Stunden: Meldung der Schwachstelle;
- ein Monat: Abschlussbericht nach der Meldung des Sicherheitsvorfalls.
Erreicht Ihr Produkt Kundinnen und Kunden, so stellen Sie sich heute die Frage: Wer nimmt die Meldung einer Schwachstelle entgegen, unter welcher Adresse, und kann diese Stelle daraus binnen eines Tages eine Meldung an die ENISA machen? Lautet die Antwort „das bekämen wir schon hin“, dann wissen Sie jetzt, was Sie vor dem September aufbauen müssen.
11. Dezember 2027: volle Geltung
Der Hauptteil: technische Dokumentation, eine Software-Stückliste über die obersten Abhängigkeiten, ein erklärter Unterstützungszeitraum von mindestens fünf Jahren (oder die erwartete Nutzungsdauer, wenn das Produkt voraussichtlich kürzer als fünf Jahre genutzt wird), die Konformitätsbewertung und die CE-Kennzeichnung werden für Produkte im Anwendungsbereich verbindlich, die auf dem Unionsmarkt in Verkehr gebracht werden. Die Arbeit an der Konformität dauert Monate: Für wichtige Produkte der Klasse II nach Anhang III und für Produkte nach Anhang IV verlangt sie Modul B+C, Modul H oder ein europäisches Schema für die Cybersicherheitszertifizierung (Art. 32 Abs. 3 und 4), und Warteschlangen bei notifizierten Stellen entdeckt man nicht erst im Oktober 2027.
Was Sie mit diesen Daten anfangen
- Klären Sie zuerst, ob Ihr Produkt überhaupt in den Anwendungsbereich fällt; die kostenlose Prüfung dauert Minuten.
- Fällt es hinein, bauen Sie die Meldewege nach Art. 14 vor dem 11. September 2026 auf.
- Beginnen Sie jetzt mit der Arbeit an der Konformität, wenn Ihr Weg über eine notifizierte Stelle führt.
Orientierung, keine Rechtsberatung. Prüfen Sie jede Angabe am amtlichen Wortlaut, bevor Sie sich darauf stützen.