Cyber Resilience Act und Lieferantenverträge

Was müssen Hersteller nach dem Cyber Resilience Act melden?

Welche Meldepflichten gelten seit September 2026 für Hersteller?
‍‍

Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Meldeplattform der ENISA melden. Die Frühwarnung ist binnen 24 Stunden fällig, eine ausführlichere Meldung binnen 72 Stunden, danach folgt ein Abschlussbericht. Die Pflicht gilt auch für Produkte, die bereits vor Dezember 2027 in Verkehr gebracht wurden.

Ein Steuerungsmodul, eine zugekaufte Kommunikationsbibliothek, eine Firmware vom Zulieferer: In fast jeder vernetzten Maschine steckt Software, die Sie nicht selbst entwickelt haben. Genau dort entstehen viele Schwachstellen. Und genau dort beginnt das Problem mit dem Cyber Resilience Act. Die Uhr für Ihre Meldung läuft ab dem Moment, in dem Sie von einer ausgenutzten Schwachstelle erfahren. Erfahren Sie davon erst Tage später, weil Ihr Lieferant vertraglich nur „unverzüglich“ informieren muss, wird es eng.

Dieser Artikel erklärt die neuen Pflichten kurz und zeigt, welche Punkte Einkauf und IT-Sicherheit in Lieferantenverträgen jetzt prüfen sollten.
‍

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist die EU-Verordnung (EU) 2024/2847 über Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Sie gilt unmittelbar in allen Mitgliedstaaten und muss nicht erst in deutsches Recht umgesetzt werden. Ihr Ziel: Hardware und Software sollen über den gesamten Lebenszyklus sicher sein. Gemeint sind etwa vernetzte Geräte, Steuerungen, Firewalls, Apps oder Buchhaltungssoftware.
‍

Wer betroffen ist: Hersteller, Importeure, Händler

Im Mittelpunkt stehen Hersteller. Das ist, wer ein Produkt mit digitalen Elementen entwickelt oder herstellen lässt und unter eigenem Namen auf den EU-Markt bringt. Auch Hersteller außerhalb der EU sind erfasst. Für den Industrie-Mittelstand heißt das: Wer Maschinen mit Steuerungssoftware, vernetzte Elektrotechnik oder Komponenten mit Firmware verkauft, ist in aller Regel Hersteller im Sinne des CRA. Ein Komponentenhersteller kann also selbst Pflichten haben und gleichzeitig Lieferant eines anderen Herstellers sein.

Importeure und Händler müssen sicherstellen, dass die Produkte, die sie in der EU bereitstellen, die Anforderungen erfüllen. Ausgenommen sind unter anderem Medizinprodukte, Fahrzeuge, zivile Luftfahrt und Schiffsausrüstung, für die eigene Regeln gelten, sowie kostenlose quelloffene Software ohne Gewinnerzielungsabsicht.
‍

Die wichtigsten Fristen bis Dezember 2027

• 10.12.2024: Der CRA tritt in Kraft.
• 11.06.2026: Die Regeln für Konformitätsbewertungsstellen gelten.
• 11.09.2026: Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle beginnt.
• 11.12.2027: Alle Anforderungen gelten, darunter Sicherheit ab Entwicklung, Schwachstellenbehandlung, technische Dokumentation und CE-Kennzeichnung.

Wichtig für Ihre Planung: Die Meldepflicht gilt laut Art. 69 Abs. 3 CRA auch für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden. Ihre Bestandsprodukte im Feld sind also schon heute betroffen.
‍

Die Meldepflicht: 24 Stunden, 72 Stunden, Abschlussbericht

Die Meldepflicht nach Art. 14 CRA greift in zwei Fällen: bei einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt und bei einem schwerwiegenden Sicherheitsvorfall, der die Sicherheit des Produkts beeinträchtigt. Gemeldet wird in drei Stufen.

Stufe 1: Frühwarnung binnen 24 Stunden
Spätestens 24 Stunden nachdem Sie von dem Fall erfahren haben, muss die Frühwarnung eingehen. Details sind hier noch nicht nötig. Es geht darum, dass die Behörden früh Bescheid wissen.

Stufe 2: Meldung binnen 72 Stunden
Innerhalb von 72 Stunden folgt die eigentliche Meldung. Sie enthält weitere Angaben, soweit Sie diese schon haben, etwa zur Art des Falls und zu den Maßnahmen, die Sie bereits ergriffen haben.

Stufe 3: Abschlussbericht
Zum Schluss reichen Sie einen Abschlussbericht ein, der den Fall, die Ursache und die Abhilfe beschreibt. Bei einer Schwachstelle ist er spätestens 14 Tage fällig, nachdem eine Korrektur bereitsteht. Bei einem Sicherheitsvorfall haben Sie einen Monat ab der Meldung Zeit.
‍

CRA und NIS2: Wo der Unterschied liegt

Beide Regelwerke drehen sich um Cybersicherheit, beide kennen eine 24-Stunden-Frist. Trotzdem regeln sie Unterschiedliches. Der Cyber Resilience Act betrifft Produkte mit digitalen Elementen und verpflichtet Hersteller, Importeure und Händler. NIS2 setzt bei Organisationen und ihrer IT an und gilt für wichtige und besonders wichtige Einrichtungen.

Das zeigt sich auch bei der Meldepflicht. Nach dem CRA melden Sie ausgenutzte Schwachstellen und Vorfälle in Ihrem Produkt, und zwar über die Meldeplattform der ENISA. Nach NIS2 melden Sie erhebliche Sicherheitsvorfälle im eigenen Betrieb, in Deutschland an das BSI.

NIS2 fragt also, wie sicher Ihr Unternehmen ist. Der CRA fragt, wie sicher das ist, was Sie verkaufen. Viele Industrieunternehmen fallen unter beide Regelwerke. Wie Sie die NIS2-Pflichten in Ihren Verträgen abbilden, lesen Sie in unserem Artikel zu NIS2 und auf der Seite NIS2-Vertragsmanagement.

Das Problem liegt in der Lieferkette

Die Meldepflicht trifft Sie als Hersteller, auch wenn die Schwachstelle in einer zugekauften Komponente steckt. Der CRA verlangt ausdrücklich, dass Sie bei Komponenten von Dritten, einschließlich quelloffener Software, mit angemessener Sorgfalt prüfen, dass diese die Sicherheit Ihres Produkts nicht gefährden (Art. 13 Abs. 5). Finden Sie selbst eine Schwachstelle in einer Komponente, müssen Sie den Hersteller oder Betreuer dieser Komponente informieren (Art. 13 Abs. 6).

In der Praxis sieht der Weg einer Information oft so aus: Der Unterlieferant bemerkt eine ausgenutzte Lücke. Er informiert Ihren Lieferanten. Der prüft intern, stimmt sich ab und meldet sich dann bei Ihrem Einkauf, der die Nachricht an die IT-Sicherheit weitergibt. Jede Station kostet Stunden. Steht in Ihrem Vertrag gar keine Meldefrist, eine Frist von mehreren Werktagen oder nur ein allgemeines „unverzüglich“, ist die 24-Stunden-Frist kaum zu halten.

Hinzu kommen drei typische Lücken in älteren Lieferantenverträgen:

• Der Supportzeitraum des Lieferanten ist kürzer als der, den Sie Ihren Kunden zusagen müssen.
• Es gibt keine Pflicht, eine Software-Stückliste (SBOM) zu liefern. Sie wissen also gar nicht, welche Bibliotheken in einer Komponente stecken.
• Haftung und Regress decken Rückrufe, Sicherheitsupdates im Feld oder Bußgeldrisiken nicht ab.

Diese Klauseln gehören in Ihre Lieferantenverträge

Die folgenden Prüfpunkte sind keine Mustertexte. Sie helfen Einkauf, IT-Sicherheit und Rechtsabteilung dabei, bestehende Verträge strukturiert durchzugehen und Nachverhandlungen vorzubereiten.

Informations- und Meldefristen des Lieferanten

Prüfen Sie zuerst, ob überhaupt eine konkrete Frist in Stunden vereinbart ist. Sie sollte deutlich unter 24 Stunden liegen, denn Ihre eigene Frist läuft bereits, wenn die Information bei Ihnen ankommt. Genauso wichtig ist der Startpunkt: Beginnt die Frist, sobald der Lieferant von der Schwachstelle erfährt, oder erst nach seiner internen Prüfung? Im zweiten Fall werden aus wenigen Stunden schnell mehrere Tage. Achten Sie außerdem darauf, dass der Lieferant nicht nur bestätigte Fälle meldet, sondern auch Verdachtsfälle und Hinweise auf eine aktive Ausnutzung.

Damit Sie mit einer Meldung arbeiten können, sollte der Vertrag Mindestinhalte festlegen, etwa die betroffenen Versionen, die Art der Schwachstelle und bekannte Gegenmaßnahmen. Mit der ersten Nachricht ist es aber nicht getan. Der Lieferant sollte verpflichtet sein, seine Angaben so nachzuliefern, dass Sie Ihre 72-Stunden-Meldung und später den Abschlussbericht erstellen können. Klären Sie auch, wer auf beiden Seiten zuständig ist und ob diese Ansprechpartner am Wochenende erreichbar sind. Eine Schwachstelle, die am Freitagabend bekannt wird, wartet nicht bis Montag. Schließlich sollte der Lieferant diese Pflichten an seine Unterlieferanten weitergeben. Sonst reißt die Meldekette genau dort ab, wo viele Schwachstellen entstehen.

Sicherheitsupdates und Supportzeitraum

Der Supportzeitraum Ihres Lieferanten sollte mindestens so lange laufen wie der, den Sie für Ihr eigenes Produkt festlegen. Der CRA sieht dafür in der Regel mindestens fünf Jahre vor. Endet der Support für eine Komponente früher, stehen Sie bei einer neuen Schwachstelle ohne Abhilfe da. Prüfen Sie deshalb auch, ob eine Frist für Sicherheitsupdates oder Umgehungslösungen vereinbart ist. Sinnvoll ist eine Staffelung nach Schwere, damit kritische Lücken schneller geschlossen werden als kleinere.

Achten Sie außerdem auf die Kosten. Sie müssen Ihren Kunden Sicherheitsupdates kostenlos anbieten, also sollte auch Ihr Lieferant sie ohne Aufpreis liefern. Ebenso wichtig ist, wie lange Updates abrufbar bleiben. Für Ihre eigenen Updates verlangt der CRA mindestens zehn Jahre Verfügbarkeit, und das gelingt nur, wenn der Lieferant mitzieht. Klären Sie schließlich, mit welchem Vorlauf der Lieferant ankündigen muss, dass er eine Komponente abkündigt oder den Support beendet. So bleibt Ihnen Zeit, einen Ersatz zu finden.

SBOM und Komponenten-Transparenz

Ohne Software-Stückliste (SBOM) wissen Sie oft gar nicht, welche Bibliotheken in einer zugekauften Komponente stecken. Prüfen Sie deshalb, ob Ihr Lieferant verpflichtet ist, eine SBOM in einem gängigen, maschinenlesbaren Format zu liefern, zum Beispiel SPDX oder CycloneDX. Eine einmalige Lieferung reicht dabei nicht. Die SBOM sollte mit jeder neuen Version aktualisiert werden und quelloffene Komponenten samt ihrer Versionen vollständig aufführen. Nur dann erkennen Sie schnell, ob eine neu bekannte Schwachstelle Ihr Produkt betrifft.

Regeln Sie außerdem, wofür Sie die SBOM und die technischen Unterlagen des Lieferanten nutzen dürfen. Sie brauchen sie für Ihre Konformitätsbewertung und müssen sie bei Anfragen von Marktüberwachungsbehörden vorlegen können. Viele Lieferanten möchten solche Informationen vertraulich behandeln, und das ist verständlich. Achten Sie aber darauf, dass die Vertraulichkeitsregelung Ihre Nachweispflichten nicht blockiert.

Haftung und Regress

Eine Schwachstelle in einer zugekauften Komponente kann teuer werden. Prüfen Sie deshalb, ob die Haftungsgrenzen in Ihrem Vertrag realistische Kosten abdecken, etwa für Updates im Feld, Rückrufe oder Produktionsausfälle. Oft liegen die vereinbarten Höchstbeträge weit darunter. Ebenso wichtig ist eine klare Regel, wer die Kosten der Abhilfe trägt, wenn die Ursache beim Lieferanten liegt. Ob und in welchem Umfang er Sie auch von Bußgeldrisiken freistellen kann, ist rechtlich nicht eindeutig. Das sollte Ihre Rechtsabteilung gesondert prüfen.

Neben der Haftung lohnt ein Blick auf Ihre Kontrollmöglichkeiten. Mit Prüfrechten können Sie sich ein Bild davon machen, wie sicher der Lieferant seine Software entwickelt. Verstößt er wiederholt gegen Melde- oder Updatepflichten, sollte Ihnen ein Kündigungsrecht zustehen. Und schließlich können Sie einen Versicherungsnachweis verlangen, zum Beispiel für Cyberrisiken. Damit stellen Sie sicher, dass Ihr Lieferant einen Schaden im Ernstfall auch tragen kann.
‍

So bringen Sie Ihren Vertragsbestand auf CRA-Stand

1. Produkte und Komponenten erfassen. Listen Sie auf, welche Ihrer Produkte digitale Elemente enthalten und welche zugekauften Komponenten darin stecken.
2. Verträge zuordnen. Finden Sie für jede kritische Komponente den passenden Liefer-, Lizenz- oder Wartungsvertrag. Oft verteilen sich die Regelungen auf Rahmenvertrag, Qualitätssicherungsvereinbarung und Einkaufsbedingungen.
3. Nach Risiko priorisieren. Starten Sie mit Komponenten, die vernetzt sind, Zugriff auf Steuerungen haben oder in vielen Produkten verbaut sind.
4. Lücken prüfen. Gehen Sie die Checkliste oben durch und dokumentieren Sie für jeden Vertrag, was fehlt.
5. Nachverhandeln und Standards anpassen. Ergänzen Sie bestehende Verträge und passen Sie Ihre Einkaufsbedingungen und Vorlagen an, damit neue Verträge von Anfang an passen.
6. Internen Meldeweg festlegen. Klären Sie, wer Lieferantenmeldungen entgegennimmt, wer bewertet und wer bei der ENISA meldet.

Mehr dazu, wie Sie Lieferantenverträge im Einkauf strukturiert steuern, finden Sie unter Vertragsmanagement für den Einkauf. Wenn Sie ohnehin Ihre Lieferkette nach dem Lieferkettengesetz prüfen, lassen sich beide Prüfungen gut verbinden.

So hilft eine Vertragsmanagement-Software

Der aufwendigste Schritt ist meist nicht die Nachverhandlung, sondern die Suche. Wo liegt der Vertrag mit dem Lieferanten der Steuerungssoftware? Welche Meldefrist steht darin? Eine Vertragsmanagement-Software wie ContractHero nimmt Ihnen diese Arbeit ab:

• Zentrale Ablage: Alle Lieferantenverträge liegen an einem Ort und lassen sich nach Produkt oder Komponente verschlagworten. So sehen Sie bei einer Schwachstelle sofort, welcher Vertrag gilt.
• KI-Analyse: Die KI-Analyse liest Ihre Verträge aus und zeigt, wo Meldefristen fehlen oder zu lang sind. Jede Fundstelle ist direkt mit der Passage im Vertrag verknüpft.
• Aufgaben und Fristen: Nachverhandlungen planen Sie als Aufgaben mit Verantwortlichen und Fristen, damit kein Vertrag liegen bleibt.

Für Unternehmen aus Maschinenbau, Elektrotechnik und Komponentenfertigung finden Sie weitere Anwendungsfälle unter Produktion und Industrie. Ihre Daten liegen dabei in Rechenzentren in Frankfurt, ContractHero ist nach ISO/IEC 27001 zertifiziert.

Sie möchten sehen, wie Sie Ihre Lieferantenverträge auf CRA-Lücken prüfen?

Fazit

Der Cyber Resilience Act macht Hersteller für die Sicherheit ihrer Produkte über den gesamten Lebenszyklus verantwortlich. Die erste harte Pflicht gilt bereits: Seit dem 11. September 2026 müssen Sie ausgenutzte Schwachstellen binnen 24 Stunden melden, auch für Bestandsprodukte. Ob Sie das schaffen, entscheidet sich oft in Ihren Lieferantenverträgen. Prüfen Sie deshalb jetzt Meldefristen, Supportzeiträume, SBOM-Pflichten und Haftungsregeln. Bis Dezember 2027 bleibt Zeit für die übrigen Anforderungen, für die Meldepflicht nicht.

‍