Fristen
Fristen der Cyberresilienz-Verordnung: der Countdown zu jedem Datum
Geprüft im August 2026 anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.
Die Cyberresilienz-Verordnung greift nicht auf einen Schlag: sie hat drei Geltungsdaten, und jedes schaltet einen eigenen Satz von Pflichten frei. Diese Seite zählt zu jedem Datum herunter und nennt, was dann gilt und für wen, ausschließlich mit wörtlichen Zitaten aus dem Amtsblatt (CELEX 32024R2847). Die Countdowns laufen in Ihrem Browser; die Daten selbst ändern sich nicht.
11. Juni 2026: Kapitel IV, Notifizierung von Konformitätsbewertungsstellen
gilt ab dem 11. Juni 2026
Kapitel IV (Artikel 35 bis 51) ist seit diesem Datum in Kraft. Es betrifft die Notifizierung von Konformitätsbewertungsstellen: die Mitgliedstaaten benennen notifizierende Behörden, und Bewertungsstellen können notifiziert und gelistet werden, um Konformitätsbewertungen durch Dritte durchzuführen. Für Hersteller, Einführer oder Händler entsteht daraus noch keine Pflicht. Die praktische Bedeutung liegt anderswo: braucht Ihr Produkt zum 11. Dezember 2027 eine notifizierte Stelle, bilden sich die Warteschlangen, in die Sie sich einreihen werden, gerade jetzt.
„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“
„NOTIFIZIERUNG VON KONFORMITÄTSBEWERTUNGSSTELLEN“
11. September 2026: Artikel 14, Meldepflichten der Hersteller
gilt ab dem 11. September 2026
Artikel 14 gilt ab diesem Datum unabhängig von der Frist im Dezember 2027, und er bindet ausschließlich Hersteller. Ab diesem Datum muss ein Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche Meldeplattform an die ENISA und die CSIRTs melden: eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung von Schwachstellen innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls. Einführer und Händler sind an Artikel 14 nicht gebunden; ihre eigenen Meldepflichten (den Hersteller unterrichten; die Marktüberwachungsbehörden bei erheblichem Cybersicherheitsrisiko unterrichten) beginnen mit der vollständigen Geltung nach den Artikeln 19 und 20.
„Meldepflichten der Hersteller“
„unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle“
„unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen“
„unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über einen schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt“
„unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller von dem Sicherheitsvorfall Kenntnis erlangt hat, eine Meldung des Sicherheitsvorfalls“
„innerhalb eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Buchstabe b einen Abschlussbericht“
11. Dezember 2027: vollständige Geltung
gilt ab dem 11. Dezember 2027
Ab diesem Datum gelten alle wesentlichen Pflichten: technische Dokumentation, eine Software-Stückliste über die obersten Abhängigkeiten, ein erklärter Unterstützungszeitraum von mindestens fünf Jahren (oder die voraussichtliche Nutzungsdauer, wenn das Produkt voraussichtlich weniger als fünf Jahre im Betrieb ist), die Konformitätsbewertung und die CE-Kennzeichnung werden für erfasste Produkte verbindlich, die auf dem Unionsmarkt in den Verkehr gebracht werden. Für Hersteller ist dies die Frist für die CE-Kennzeichnung. Für Einführer und Händler binden ab diesem Datum ihre eigenen Pflichten: die Prüfung vor dem Inverkehrbringen beziehungsweise vor der Bereitstellung auf dem Markt sowie die Pflichten nach den Artikeln 19 und 20 (den Hersteller unverzüglich über Schwachstellen unterrichten; die Marktüberwachungsbehörden unverzüglich unterrichten, wenn ein Produkt ein erhebliches Cybersicherheitsrisiko birgt). Die Konformitätsarbeit dauert Monate, beginnen Sie also jetzt, wenn Ihr Verfahren eine notifizierte Stelle einbezieht.
„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“
„beträgt der Unterstützungszeitraum mindestens fünf Jahre“
„Wird davon ausgegangen, dass das Produkt mit digitalen Elementen weniger als fünf Jahre im Betrieb ist, muss der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer entsprechen.“
„gut sichtbar, lesbar und dauerhaft hervorgeht“
„Sobald die Einführer von einer Schwachstelle in dem Produkt mit digitalen Elementen Kenntnis erhalten, informieren sie den Hersteller unverzüglich über diese Schwachstelle.“
„Sobald die Händler von einer Schwachstelle in dem Produkt mit digitalen Elementen Kenntnis erhalten, informieren sie den Hersteller unverzüglich über diese Schwachstelle.“
Ihre nächsten Schritte
- Hersteller: Richten Sie den Meldeweg nach Artikel 14 vor dem 11. September 2026 ein (wer die Meldung entgegennimmt, unter welcher Anschrift, wer bei der ENISA einreicht), und beginnen Sie jetzt mit der Konformitätsarbeit, wenn Ihr Verfahren eine notifizierte Stelle einbezieht. Ihre Pflichten als Hersteller prüfen.
- Einführer: Prüfen Sie die Produkte, die Sie auf dem Unionsmarkt in den Verkehr bringen, und bereiten Sie die Pflichten nach Artikel 19 vor, die mit der vollständigen Geltung am 11. Dezember 2027 beginnen. Ihre Pflichten als Einführer prüfen.
- Händler: Bestätigen Sie die gebotene Sorgfalt bei der Prüfung vor der Bereitstellung auf dem Markt, und bereiten Sie die Pflichten nach Artikel 20 vor, die mit der vollständigen Geltung am 11. Dezember 2027 beginnen. Ihre Pflichten als Händler prüfen.
Orientierung, keine Rechtsberatung. Die Countdowns rechnen in UTC und nutzen die Uhr Ihres Geräts; die zitierten Daten stammen aus dem Wortlaut des Amtsblatts. Prüfen Sie jede Angabe, bevor Sie sich darauf stützen.