CRA Assistent
Fragen zum Cyber Resilience Act
Fragen zum Cyber Resilience Act
Hallo, ich bin der CRA-Assistent. Stellen Sie mir gerne Ihre Frage zum Cyber Resilience Act, zu Rollen und Pflichten oder zur Nutzung von CRA-Portal.
Bleiben Sie über die neuesten Entwicklungen rund um den Cyber Resilience Act informiert.
Am 21. Oktober 2026 veroeffentlichte das PHP-Team zwei kritische Schwachstellen, CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9,2. Sie ermoeglichen die Ausfuehrung von Code aus der Ferne und betreffen jede Version ab PHP 5.4. In den Niederlanden gingen unter anderem DigiD, MijnOverheid, das Parlament, das nationale Cybersicherheitszentrum selbst, der Flughafen Schiphol und sechs Krankenhaeuser vorsorglich offline. Fuer Hersteller geht es um zwei Fragen. Steckt diese Komponente in meinem Produkt, und in welcher Version? Und muss ich melden? Eine aktiv ausgenutzte Schwachstelle melden Sie innerhalb von 24 Stunden, auch wenn sie nicht in Ihrem eigenen Code steckt, sondern in einer mitgelieferten Komponente; eine bekannte, aber noch nicht ausgenutzte Schwachstelle faellt nicht unter diese Frist. Wer PHP 7.4 einsetzt, hatte an diesem Tag keine Wahl zwischen Patchen und Warten: Diese Version wird seit November 2022 nicht mehr gepflegt und erhaelt keinen Patch.
In der Nacht vom 11. auf den 12. Oktober 2026 versetzten Angreifer die Kühlanlagen von geschätzt 250 bis 350 französischen Supermärkten in einen Dauerabtaumodus, wobei die Temperaturen auf bis zu 50 Grad stiegen. Betroffen waren unter anderem Intermarché, Netto, Coopérative U, Leclerc, Carrefour Market und Monoprix. Eine Filiale im Elsass meldete mehr als 220.000 Euro Schaden; landesweit geht der Verlust in die Millionen. Die Regelpanels des dänischen Herstellers Danfoss sind über das Internet erreichbar, damit Servicefirmen sie fernsteuern können, und die betroffenen Geraete liefen mit veralteter Firmware. Die CISA warnte bereits im Mai 2025 vor einem Authentifizierungs-Bypass in der Serie AK-SM 8xxA (CVE-2025-41450). Ein Kühlregler wirkt wie ein unbedeutender Kasten, ist aber ein Produkt mit digitalen Elementen: Der CRA fordert sichere Standardeinstellungen, Authentifizierung beim Fernzugriff, einen Unterstützungszeitraum mit Sicherheitsupdates und die Meldung aktiv ausgenutzter Schwachstellen. Der Vorfall zeigt, was es kostet, wenn diese Grundlage fehlt: kein Datenleck, sondern Tage an Umsatz, verdorbene Ware und Stillstand.
Was der CRA von Produkten verlangt · Meldepflicht bei Ausnutzung
Seit dem 11. September 2026 ist die ENISA Single Reporting Platform unter portal.cra-srp.enisa.europa.eu in Betrieb. Dazu gibt es ein Handbuch für Bevollmächtigte, ein Video-Tutorial und ein Glossar zu den Eingabefeldern. Eine API gibt es nicht: Registrierung und Meldung erfolgen manuell. Beachten Sie die zwei unterschiedlichen Fristen für den Abschlussbericht: bei einer Schwachstelle spätestens vierzehn Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme, bei einem schwerwiegenden Vorfall innerhalb eines Monats nach der 72-Stunden-Meldung. Für Open-Source-Stewards gilt die Meldepflicht erst ab dem 11. Dezember 2027, und freiwillige Meldungen sind auf der Plattform noch nicht möglich.
Die Melde- und Berichtspflichten des CRA für Vorfälle und Schwachstellen gelten ab dem 11. September 2026 über die ENISA Single Reporting Platform. ENISA hat FAQs, ein zweiseitiges Factsheet und Schritt-für-Schritt-Anleitungen zur Registrierung und Einreichung von Meldungen veröffentlicht. Zudem hat ENISA das Secure by Design and Default Playbook herausgegeben — 22 praktische Playbooks für den gesamten Produktlebenszyklus — und internationale Partner veröffentlichten die 2026-Mindestanforderungen für eine Software Bill of Materials (SBOM).
Die Europäische Kommission hat ihre offiziellen Leitlinien zur Umsetzung des Cyber Resilience Act veröffentlicht. Sie klären den Anwendungsbereich — einschließlich Lösungen zur Ferndatenverarbeitung sowie freier und quelloffener Software —, was eine 'wesentliche Änderung' ist, wie Unterstützungszeiträume gelten sowie die Melde- und Risikobewertungspflichten. Sie enthalten 67 praktische Beispiele, Anwendungsfälle und Ablaufdiagramme, speziell für KMU und Kleinstunternehmen.
ENISA hat die FAQ zur zentralen CRA-Meldeplattform aktualisiert, einschliesslich der Datenfelder, die Hersteller bei der Meldung von Vorfaellen gemaess Artikel 14 angeben muessen. Zudem laeuft bis zum 10. Juli 2026 eine oeffentliche Konsultation zu einem Entwurf einer technischen Empfehlung fuer sichere Update-Mechanismen fuer KMU.
Die OpenSSF hat im Namen ihrer Community Feedback zu zwei EU-Konsultationen eingereicht: zur Revision des Cybersicherheitsgesetzes und zu Änderungen der NIS2-Richtlinie. Auch Beiträge zum ENISA-Leitfaden 'Secure by Design' für KMU wurden geliefert.
ENISA hat einen Entwurf eines Leitfadens veröffentlicht, der KMU dabei helfen soll, Sicherheit von Anfang an in ihre Produkte zu integrieren. Der Leitfaden bietet praktische Schritte für Engineering-, Produkt- und Release-Prozesse.
Der CRA ist am 10. Dezember 2024 in Kraft getreten. Hersteller, Importeure und Distributoren von Produkten mit digitalen Elementen müssen die neuen Anforderungen bis zum 11. Dezember 2027 erfüllen.
Die CRA-Gesetzgebung entwickelt sich weiter. Kontaktieren Sie uns für aktuelle Einblicke.
Unsere Spezialisten helfen Ihnen gerne bei Ihrem Compliance-Projekt.