Seit dem 11. September 2026 gelten im EU Cyber Resilience Act bereits konkrete Meldepflichten. Für Schweizer Unternehmen ist das relevant, sobald sie Hardware oder Software mit digitalen Elementen im EU-Markt anbieten. Die meisten übrigen Pflichten des CRA greifen zwar erst ab Dezember 2027 – bei aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen läuft die Uhr aber schon heute.
Kurzantwort: Was gilt jetzt?
Hersteller müssen eine aktiv ausgenutzte Schwachstelle oder einen schweren Sicherheitsvorfall grundsätzlich innerhalb von 24 Stunden früh melden und innerhalb von 72 Stunden genauer einordnen. Die Meldung erfolgt über die Single Reporting Platform von ENISA. Das gilt auch für Produkte, die bereits vor dem vollständigen Geltungsbeginn des CRA auf dem EU-Markt verfügbar waren. Die Zusammenfassung der EU-Kommission trennt deshalb klar zwischen den seit September 2026 geltenden Meldepflichten und den Hauptpflichten ab 11. Dezember 2027.
Welche Schweizer Unternehmen betroffen sein können
Der CRA knüpft nicht an den Sitz des Herstellers an, sondern daran, ob ein Produkt mit digitalen Elementen auf dem EU-Markt bereitgestellt wird. Gemeint sind Hardware- und Softwareprodukte, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. Dazu gehören je nach Ausgestaltung beispielsweise Apps, IoT-Geräte, smarte Steuerungen, vernetzte Maschinen, Plugins oder separat vertriebene Softwarekomponenten.
Besonders wichtig ist die Herstellerrolle: Wer ein Produkt entwickeln oder produzieren lässt und es unter dem eigenen Namen oder der eigenen Marke vermarktet, kann als Hersteller gelten. Das betrifft deshalb auch Private-Label-Anbieter. Ein Liefervertrag, der alle technischen Aufgaben dem Produzenten zuweist, beseitigt die regulatorische Rolle der Marke nicht automatisch.
- Eigene digitale Produkte: Du entwickelst oder vertreibst Software, Hardware oder vernetzte Geräte unter eigener Marke.
- Private Label: Ein externer Produzent entwickelt das Produkt, dein Unternehmen bringt es aber unter seinem Namen in die EU.
- Import und Distribution: Du bist nicht zwingend Hersteller, musst aber je nach Rolle prüfen, ob Herstellerpflichten und Produktinformationen erfüllt sind.
- Bestehendes Sortiment: Die Meldepflicht kann auch Produkte erfassen, die schon vor Dezember 2027 im EU-Markt waren.
Was tatsächlich gemeldet werden muss
Nicht jeder gewöhnliche Softwarefehler löst automatisch eine Pflichtmeldung aus. Laut der am 3. Oktober 2026 aktualisierten ENISA-FAQ zur Meldeplattform geht es um zwei klarere Ereignistypen:
- Aktiv ausgenutzte Schwachstelle: Es gibt verlässliche Hinweise, dass ein böswilliger Akteur die Schwachstelle ohne Erlaubnis ausgenutzt hat.
- Schwerer Sicherheitsvorfall: Ein Vorfall beeinträchtigt die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Funktionen des Produkts in schwerwiegender Weise.
Die Abgrenzung braucht technische und geschäftliche Beurteilung. Ein Eintrag in einer Schwachstellendatenbank allein ist nicht dasselbe wie ein Nachweis aktiver Ausnutzung. Umgekehrt darf ein glaubwürdiger Hinweis aus Support, Monitoring, Forschung oder von einem Lieferanten nicht tagelang intern liegen bleiben.
Die Fristen: 24 Stunden, 72 Stunden und Schlussbericht
- Frühwarnung innerhalb von 24 Stunden: ohne unnötige Verzögerung ab dem Zeitpunkt, an dem der Hersteller vom Ereignis Kenntnis erhält.
- Hauptmeldung innerhalb von 72 Stunden: mit allgemeinen Informationen und einer ersten Bewertung.
- Schlussbericht bei aktiv ausgenutzter Schwachstelle: spätestens 14 Tage, nachdem eine Korrektur oder Minderungsmassnahme verfügbar ist.
- Schlussbericht bei schwerem Vorfall: innerhalb eines Monats nach der 72-Stunden-Meldung.
Die EU-Kommission beschreibt den aktuellen Meldeprozess mit denselben Fristen. Entscheidend ist der Zeitpunkt der Kenntnisnahme. Ohne definierte interne Eskalation kann eine Meldung deshalb verspätet sein, obwohl Technik und Management grundsätzlich schnell reagiert haben.
Praxisplan für Schweizer KMU und Marken
1. Sortiment nach CRA-Relevanz ordnen
Erstelle eine einfache Liste aller digitalen Produkte, Versionen, Markenrollen und EU-Vertriebskanäle. Halte fest, wer entwickelt, wer Updates liefert und wer im EU-Markt als Importeur oder Distributor auftritt. Beginne mit Produkten, die online verbunden sind, sensible Daten verarbeiten oder bereits länger im Feld stehen.
2. Einen einzigen Meldeweg definieren
Support, Entwicklung, IT-Sicherheit, Produktmanagement und externe Partner brauchen einen gemeinsamen Eskalationsweg. Lege fest, welche Stelle den Zeitpunkt der Kenntnisnahme dokumentiert, die erste Bewertung führt und die Geschäftsleitung informiert. Das passt zur grundsätzlichen Empfehlung, Cybersicherheit als Prozess statt als Plugin-Thema zu behandeln.
3. Verantwortliche und Stellvertretung benennen
ENISA arbeitet auf der Plattform mit persönlichen EU-Login-Konten und einer Primär- sowie möglichen Sekundärvertretungen. Definiere deshalb mindestens eine verantwortliche Person und eine Stellvertretung. Die Plattform lässt laut ENISA derzeit nur eine Primärvertretung, aber mehrere Sekundärvertretungen zu. So hängt eine 24-Stunden-Frist nicht an Ferien oder Krankheit.
4. Lieferantenpflichten konkretisieren
Bei Private Label und Sourcing genügt «Lieferant informiert bei Problemen» nicht. Vereinbare Meldezeiten, erreichbare Kontaktpersonen, technische Mindestinformationen, Patch-Verantwortung und Unterstützung bei Behördenmeldungen. Prüfe dieselbe Rollenlogik auch bei anderen EU-Pflichten; der Beitrag zu den Verpackungsregeln für Onlinehändler in Deutschland zeigt, wie stark Pflichten von Markt und Rolle abhängen.
5. Eine 24-Stunden-Vorlage vorbereiten
Bereite ein kurzes internes Formular vor: Produkt und Version, Zeitpunkt der Kenntnisnahme, Quelle des Hinweises, betroffene Funktionen, bekannte Ausnutzung, erste Auswirkungen, Sofortmassnahmen und zuständige Personen. Es muss nicht schon jede technische Antwort enthalten. Es soll verhindern, dass die ersten Stunden mit dem Zusammentragen von Basisdaten verloren gehen.
Was du jetzt entscheiden solltest
Für ein Schweizer Unternehmen mit digitalen Produkten im EU-Markt sind drei Fragen dringlich: Fallen Produkte in den CRA-Anwendungsbereich? Gilt dein Unternehmen als Hersteller oder in einer anderen Wirtschaftsakteur-Rolle? Und kann dein Team einen glaubwürdigen Hinweis innerhalb weniger Stunden technisch und organisatorisch einordnen?
Der vollständige CRA-Umsetzungsaufwand bis Dezember 2027 ist grösser als dieser Meldeprozess. Trotzdem lohnt es sich, mit der Eskalation zu beginnen: Sie verbindet Produktdaten, Verantwortlichkeiten, Lieferanten und technische Abläufe. Genau dort entstehen in KMU meist die praktischen Lücken.
Du möchtest dein Sortiment, deine Rollen oder den Meldeprozess strukturiert prüfen? Nimm Kontakt mit WebSchneiderei auf. Wir ordnen zuerst Produkte, Verantwortlichkeiten und Informationsflüsse – bevor daraus ein unnötig grosses Projekt wird.
Hinweis: Dieser Beitrag bietet eine praktische Einordnung und keine Rechtsberatung. Für die verbindliche Beurteilung eines konkreten Produkts oder Vorfalls solltest du juristische und technische Fachpersonen beiziehen.
Beitragsbild: Umberto / Unsplash.
