Cyber Resilience Act: Neue Meldepflichten treffen Schweizer Firmen
Seit heute gelten im EU Cyber Resilience Act erstmals konkrete Meldepflichten. Schweizer Hersteller von vernetzter Hardware und Software mit Zugang zum EU-Markt müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die zentrale Plattform der EU-Agentur ENISA melden. Für die erste Warnung bleiben grundsätzlich nur 24 Stunden.
Die neue Pflicht trifft nicht jedes Schweizer Unternehmen. Entscheidend ist, ob ein Betrieb als Hersteller ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellt. Dazu können etwa IoT-Geräte, Maschinensteuerungen, Netzwerkkomponenten, Apps oder kommerzielle Software gehören.
Was seit 11. September 2026 gilt
Der Cyber Resilience Act trat bereits am 10. Dezember 2024 in Kraft. Die meisten Produkt- und Konformitätsanforderungen werden erst ab 11. Dezember 2027 anwendbar. Die Meldepflichten nach Artikel 14 gelten jedoch bereits seit dem 11. September 2026.
Gemäss ENISA beginnt die Frist, sobald der Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schweren Sicherheitsvorfall Kenntnis erhält. Die Meldung läuft über die Single Reporting Platform der ENISA.
Diese Fristen müssen Unternehmen organisieren
Innert 24 Stunden: Frühwarnung nach Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schweren Vorfalls.
Innert 72 Stunden: ausführlichere Meldung mit verfügbaren allgemeinen Informationen und einer ersten Bewertung.
Bei Schwachstellen: Schlussbericht spätestens 14 Tage, nachdem eine Korrekturmassnahme wie ein Patch verfügbar ist.
Bei schweren Vorfällen: Schlussbericht spätestens einen Monat nach der 72-Stunden-Meldung.
Die kurzen Fristen machen aus Cybersecurity eine Führungs- und Prozessfrage. Ein technisches Team kann die Pflicht nicht allein erfüllen, wenn Verantwortlichkeiten, Eskalationswege und Entscheidungsbefugnisse ungeklärt sind.
Welche Schweizer Firmen betroffen sein können
Der Sitz ausserhalb der EU schützt nicht vor der Verordnung. Relevant ist der Marktzugang: Wer Produkte mit digitalen Elementen in der EU bereitstellt, muss den CRA-Geltungsbereich prüfen. Bei Schweizer Herstellern ohne Niederlassung in der EU kann zudem die Rolle eines bevollmächtigten Vertreters relevant sein.
Nicht jede Sicherheitslücke löst automatisch eine Meldung aus. Die aktuelle Pflicht betrifft aktiv ausgenutzte Schwachstellen sowie Vorfälle mit schwerwiegenden Auswirkungen auf die Sicherheit des Produkts. Die rechtliche Einordnung im Einzelfall sollte dokumentiert und bei Unsicherheit fachlich geprüft werden.
Was Unternehmer jetzt konkret tun sollten
Produkte inventarisieren: Welche Hard- und Softwareprodukte werden in der EU verkauft oder bereitgestellt?
Verantwortung benennen: Wer entscheidet, ob ein Ereignis meldepflichtig ist, und wer darf die Meldung absenden?
24-Stunden-Prozess testen: Können Entwicklung, Support, Recht und Geschäftsleitung auch ausserhalb der Bürozeiten eskalieren?
ENISA-Zugang vorbereiten: Registrierung, Rollen und Zugriff auf die Single Reporting Platform klären.
Beweiskette sichern: Zeitpunkt der Kenntnis, technische Bewertung, Kundenwirkung und ergriffene Massnahmen nachvollziehbar dokumentieren.
Verträge prüfen: Meldewege mit Zulieferern, Entwicklern, Distributoren und EU-Partnern auf die kurzen Fristen abstimmen.
Warum Abwarten teuer werden kann
Die operative Hauptgefahr ist nicht nur eine spätere Sanktion. Wer erst während eines Vorfalls klärt, wer zuständig ist, verliert einen grossen Teil des 24-Stunden-Fensters. Gleichzeitig können unvollständige oder widersprüchliche Informationen gegenüber Behörden, Kunden und Partnern zusätzlichen Aufwand verursachen.
Für Schweizer KMU mit EU-Geschäft ist deshalb jetzt ein schlanker, getesteter Meldeprozess wichtiger als ein umfangreiches Papierkonzept. Die vollständigen CRA-Anforderungen folgen 2027. Die Meldeorganisation muss jedoch bereits heute funktionieren.
Die wichtigste Unternehmerfrage
Kann Dein Unternehmen innerhalb von 24 Stunden erkennen, bewerten, entscheiden und melden? Wenn die Antwort nicht eindeutig Ja lautet, besteht akuter Handlungsbedarf.
