Wer Software oder Hardware mit digitalen Funktionen verkauft – also Router, Apps, Industriesteuerungen, vernetzte Geräte jeder Art – muss ab diesem Ta

Ab dem 11. September 2026 gilt eine Pflicht die viele Hersteller noch nicht auf dem Schirm haben. Wer Software oder Hardware mit digitalen Funktionen verkauft – also Router, Apps, Industriesteuerungen, vernetzte Geräte jeder Art – muss ab diesem Tag eine neue Regel einhalten. Wenn in einem dieser Produkte eine Sicherheitslücke aktiv von Angreifern ausgenutzt wird muss das innerhalb von 24 Stunden gemeldet werden. An die europäische Cybersicherheitsbehörde ENISA und an das zuständige nationale Sicherheitsteam. In Deutschland ist das das CERT-Bund. Nicht irgendwann. Innerhalb von 24 Stunden. Das ist Artikel 14 des Cyber Resilience Acts. Und er gilt 15 Monate bevor der Rest des Gesetzes vollständig in Kraft tritt. Nicht als Übergangsphase. Als scharfe Pflicht. Wie der Prozess konkret aussieht: Innerhalb von 24 Stunden kommt eine erste Meldung – auch wenn noch nicht alles bekannt ist. Innerhalb von 72 Stunden folgt eine vollständige Meldung mit allem was bis dahin bekannt ist. Und innerhalb von 14 Tagen nach Bereitstellung einer Lösung kommt ein abschließender Bericht. Drei Stufen. Feste Fristen. Kein Ermessensspielraum. Zwei Punkte die viele überraschen. Erstens gilt die Meldepflicht nicht nur für neue Produkte. Wer glaubt dass ältere Geräte die bereits auf dem Markt sind ausgenommen sind liegt falsch. Das Gesetz zieht ausdrücklich auch bestehende Produkte in die Pflicht. Die Maschinensteuerung die seit 2019 läuft. Der vernetzte Sensor der seit Jahren im Kundennetz hängt. Beide fallen darunter. Zweitens betrifft die Meldepflicht Hersteller – nicht Betreiber. Wer Produkte einkauft ohne zu prüfen ob der Hersteller diesen Prozess bereits aufgebaut hat riskiert im Ernstfall zu spät von einer Schwachstelle im eigenen Bestand zu erfahren. Das ist ein Lieferkettenrisiko das viele Einkaufsabteilungen noch nicht eingepreist haben. Was das für Hersteller bedeutet: Der Meldeprozess muss jetzt aufgebaut werden. Nicht als Dokument das irgendwo liegt. Als gelebter getesteter Ablauf mit klaren Verantwortlichkeiten. Wer erst am 11. September 2026 damit anfängt hat das erste Problem bereits.