Am 11. September 2026 greift die erste harte Stufe des Cyber Resilience Act. Von diesem Tag an müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, beides mit einer Frühwarnung binnen 24 Stunden. Das Thema läuft in der Shop-Welt bisher unter Hersteller-Recht. Für einen Teil der Händler ist das ein Trugschluss, und für einen anderen Teil ist es Entwarnung.
Was ab dem 11. September gilt
Der Cyber Resilience Act regelt Cybersicherheits-Anforderungen für Produkte mit digitalen Elementen, von der vernetzten Kaffeemaschine über Wearables bis zur mitgelieferten App. Die vollständigen Anforderungen, darunter die Einhaltung der grundlegenden Cybersicherheits-Anforderungen vor dem Inverkehrbringen, gelten laut BSI ab dem 11. Dezember 2027. Vorgezogen auf den 11. September 2026 ist allein Art. 14, die Meldepflicht der Hersteller.
Diese Meldepflicht hat zwei Stränge, die in der Praxis gern vermischt werden. Bei einer aktiv ausgenutzten Schwachstelle verlangt Art. 14 Abs. 2 eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis, eine Schwachstellen-Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht. Bei einem schwerwiegenden Sicherheitsvorfall gelten nach Art. 14 Abs. 4 ebenfalls 24 und 72 Stunden, der Abschlussbericht ist hier aber erst innerhalb eines Monats nach der 72-Stunden-Meldung fällig.
Gemeldet wird über die einheitliche europäische Meldeplattform, adressiert gleichzeitig an das als Koordinator benannte nationale CSIRT und an die ENISA. Die Plattform ist dabei der Kanal, nicht der Empfänger. Welche Stelle in Deutschland nach Art. 14 Abs. 7 als Koordinator benannt ist, klären Sie vor der ersten Meldung; das nationale CSIRT betreibt das BSI mit CERT-Bund.
24 Stunden sind der Punkt, an dem aus einer Rechtsfrage eine Organisationsfrage wird. Diese Frist ist an einem Freitagabend genauso scharf wie an einem Dienstagvormittag.
Der Punkt, den Shops übersehen
Wer ausschließlich fremde Markenware weiterverkauft, ist von der Meldepflicht am 11. September nicht Adressat. Die Pflicht aus Art. 14 trifft den Hersteller. Einführer und Händler haben eigene Pflichten, die aber erst mit der vollen Anwendung ab dem 11. Dezember 2027 greifen, weil Art. 71 Abs. 2 von den Pflichten der Wirtschaftsakteure nur Art. 14 vorzieht.
Anders liegt der Fall bei einer Eigenmarke, und hier lohnt eine Unterscheidung, die in Zusammenfassungen meist untergeht. Hersteller ist nach Art. 3 Nr. 13 auch, wer Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter seinem Namen oder seiner Marke vermarktet. Wer also Private-Label-Ware in Auftrag gibt, ist Hersteller im Sinne der Verordnung, und für ihn gilt Art. 14 ab dem 11. September 2026.
Davon zu trennen ist die Zurechnung nach Art. 21: Ein Einführer oder Händler gilt als Hersteller, wenn er ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt wesentlich verändert. Diese Norm ist nicht vorgezogen, sie gilt erst ab Dezember 2027. Für das klassische Umlabeln fremder Ware beginnt die Uhr also später als für echte Auftragsfertigung.
Wo die Grenze zwischen beiden Konstellationen im Einzelfall verläuft, ist eine Rechtsfrage und keine, die sich am Produktkatalog ablesen lässt. Praktisch relevant ist die Unterscheidung für alle, die Private-Label-Elektronik führen, ein Gerät mit eigener App unter eigenem Logo verkaufen oder fremde Smart-Home-Produkte umlabeln.
Drei Fragen, die diese Woche zu beantworten sind
Erstens: Führen wir Produkte mit digitalen Elementen, also mit Software, Firmware oder Netzwerk-Anbindung. Bei reinen Textilien oder Möbeln erübrigt sich der Rest. Bei allem, was sich mit einer App verbindet oder ein Firmware-Update kennt, nicht.
Zweitens: Tragen diese Produkte unsere Marke oder eine fremde, und wenn unsere, lassen wir sie eigens fertigen oder labeln wir vorhandene Ware um. Diese Unterscheidung entscheidet über die Rolle und über den Zeitpunkt.
Drittens, falls Eigenmarke: Wissen wir überhaupt, wenn beim Fertiger eine Schwachstelle bekannt wird. Bei OEM-Produkten aus Drittstaaten ist die Informationskette oft der schwächste Punkt. Eine 24-Stunden-Frist funktioniert nur, wenn jemand innerhalb von Stunden erfährt, dass es etwas zu melden gibt. Das ist eine Vertragsfrage an den Lieferanten und keine, die sich im September beantworten lässt.
Für reine Weiterverkäufer, die fremde Markenware unverändert und ohne eigenes Label führen, ist die vernünftige Reaktion nicht Aktionismus, sondern ein Kalendereintrag: Bis Dezember 2027 ist Zeit, die eigene Rolle und die Anforderungen an die Lieferanten sauber zu klären. Wer heute schon Lieferantenverträge neu verhandelt, nimmt die CRA-Informationspflichten am besten gleich mit auf.
Wie sich das zu GPSR verhält
Der Cyber Resilience Act ist nicht die Produktsicherheits-Verordnung in neuem Gewand. GPSR adressiert die allgemeine Sicherheit von Produkten und die Pflichtangaben im Shop; der CRA adressiert Cybersicherheit über den Lebenszyklus, inklusive Schwachstellen-Management und Update-Versorgung. Ein vernetztes Produkt kann beide Regime gleichzeitig treffen, und die Rollen-Logik ähnelt sich: Wer unter eigenem Namen vertreibt, rückt näher an die Herstellerrolle. Was GPSR für Shops bedeutet, haben wir in GPSR in der Shopify-Praxis beschrieben.
Wenn Sie Eigenmarken mit digitalen Elementen führen, nehmen wir im Rahmen unserer Compliance-Care auf, welche Ihrer Produktgruppen digitale Elemente enthalten und wo in der Lieferkette die Informationswege fehlen, um eine 24-Stunden-Frist überhaupt einhalten zu können. Das ist ein Formal-Check ohne juristische Bewertung der Rollenfrage; die gehört zu Ihrer Kanzlei. Schildern Sie uns über das Kontaktformular, welche Produktgruppen bei Ihnen vernetzt sind, dann sagen wir Ihnen, wo der Durchgang anfangen sollte.