Beobachtetes Signal · 11. Sept. 2026 · Regulation · Quelle: Retail-News · Relevanz: 4/5 · Sentiment: Negativ
Cyber Resilience Act: Nur 30 Prozent der Unternehmen kennen ihre Pflichten
Der europäische Cyber Resilience Act (CRA) bringt ab dem 11. September 2026 strenge Meldepflichten für Hersteller mit sich. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden, gefolgt von Details nach 72 Stunden sowie einem Abschlussbericht. Eine Bitkom-Umfrage unter 1.003 deutschen Unternehmen zeigt jedoch, dass lediglich 29 Prozent die konkreten geschäftlichen Auswirkungen kennen. Zwar haben 67 Prozent vom Gesetz gehört, doch es mangelt massiv an Detailwissen. Zudem soll die zentrale europäische Meldeplattform erst zum Stichtag live gehen, was Vorabtests unmöglich macht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) agiert als nationale Behörde. Die Regulierung betrifft sämtliche Hersteller digitaler Produkte, inklusive der Infrastruktur im Bereich AdTech und MarTech, und erfordert aufgrund der kurzen Fristen und geringen Branchenreife dringendes Handeln.
Weitreichende EU-Regulierung mit strengen Meldefristen für alle Hersteller digitaler Produkte und der AdTech-Infrastruktur bei gleichzeitig alarmierend geringer Marktvorbereitung.
Marktsignale zu Bitkom in Echtzeit verfolgen
Polaris7 erfasst behördliche Registrierungen, Primärquellen, Führungswechsel und Deal-Aktivitäten rund um die Uhr. Erstellen Sie Ihren kostenlosen Explorer-Workspace, um automatisierte Executive Briefings zu erhalten.
Wichtigste Kernpunkte & Evidenz
- Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle binnen 24 Stunden melden.
- Zusätzliche Details sind innerhalb von 72 Stunden einzureichen, gefolgt von einem finalen Bericht.
- Laut einer Bitkom-Umfrage unter 1.003 Unternehmen wissen nur 29 Prozent, was der CRA für ihr Geschäft bedeutet.
- 67 Prozent kennen den Begriff, aber 38 Prozent wissen nur den Namen und 28 Prozent kennen ihn gar nicht.
- Die zentrale EU-Meldeplattform wird erst zum Stichtag verfügbar sein, was Praxistests vorab verhindert.
- Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fungiert in Deutschland als zuständige Behörde.
Verknüpfte Unternehmen
1 verknüpfte Unternehmen“According to a Bitkom survey of 1,003 companies......”
Ontologie & Marktkonzepte
Verwandte Marktsignale & Trends
Aktuelle verifizierte Unternehmensentwicklungen und Deal-Aktivitäten in diesem Marktsegment.
Cyber Resilience Act: Deutsche Industrie kämpft mit Umsetzung
Ein Retail-News-Artikel vom 29. August 2026 beleuchtet den „IoT & OT Cybersecurity Report 2026“ von ONEKEY, dem zufolge zahlreiche deutsche Unternehmen unzureichend auf den EU Cyber Resilience Act (CRA) vorbereitet sind. Die Studie offenbart erhebliche Defizite beim Bewusstsein: 45 Prozent der Firmen sind mit den CRA-Anforderungen kaum oder gar nicht vertraut. Zudem mangelt es an Kenntnissen über die erste Meldefrist am 11. September 2026. Die Umsetzung von Risikomanagement, Dokumentation, SBOMs, Sicherheitsupdates und der 24-Stunden-Meldepflicht für Vorfälle verläuft zu schleppend. Der Bericht warnt, dass KI-gestützte Angriffe und komplexe Software-Transparenz den Handlungsdruck massiv erhöhen. Viele Unternehmenpeilen die vollständige Compliance bis Dezember 2027 an, müssen das Tempo jedoch drastisch steigern.
Wie OSPOs Unternehmen auf den EU Cyber Resilience Act vorbereiten
Für Unternehmen, die Produkte mit digitalen Elementen in der EU anbieten, rückt der nächste wichtige Stichtag des Cyber Resilience Act (CRA) am 11. September 2026 näher. Ab diesem Datum müssen betroffene Organisationen voll einsatzbereit sein, um den strengen Meldeplichten für Sicherheitsvorfälle und Schwachstellen nachzukommen. Open Source Program Offices (OSPOs) spielen dabei eine zentrale Rolle, um Compliance-Prozesse, Software-Lieketten und Sicherheitsstandards intern zu steuern. Angesichts drohender Sanktionen müssen Führungskräfte ihre Governance-Strukturen und Entwicklungszyklen frühzeitig anpassen, um die regulatorischen Anforderungen nahtlos zu integrieren und Risiken im Bereich Connected TV, AdTech sowie digitaler Infrastrukturen zu minimieren.
KI-Code schützt Unternehmen nicht vor EU-Cyber-Resilience-Act-Haftung
Der seit Dezember 2024 geltende EU Cyber Resilience Act (CRA) auferlegt allen Produkten mit digitalen Elementen im EU-Markt strenge Sicherheits- und Haftungspflichten. Wesentliche Fristen umfassen die verpflichtende Schwachstellenmeldung an ENISA ab September 2026 sowie die vollständige Compliance bis Dezember 2027. Zu den Kernpflichten gehören die Markteinführung ohne bekannte ausnutzbare Schwachstellen, mindestens fünf Jahre Sicherheitsupdates, die CE-Kennzeichnung sowie die Meldung aktiv ausgenutzter Schwachstellen innerhalb von 24 Stunden an ENISA. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Der CRA gilt uneingeschränkt auch für KI-generierten Code aus Tools wie Copilot, Claude oder Cursor. Unternehmen müssen Bestandsaufnahmen durchführen, Meldekanäle einrichten, KI-Code auditieren, dokumentierte Prozesse zur Schwachstellenbehebung etablieren und SLAs anpassen.
Marktsignale & Strategische Shifts in Echtzeit verfolgen
Erstellen Sie benutzerdefinierte Watchlists, um automatisierte, evidenzbasierte Executive Briefings zu erhalten, sobald wesentliche Signale oder Marktverschiebungen auftreten.