Seit dem 11. September 2026 gelten für Hersteller CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Entscheidend ist ein belastbarer Prozess ab Kenntniserlangung – von Triage und Frühwarnung bis zu Abschlussbericht, Nachweisführung und SRP-Übermittlung.
Seit dem 11. September 2026 gelten die vorgezogenen CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Entscheidend ist ein belastbarer Prozess ab Kenntniserlangung – von der Triage über die SRP-Meldung bis zur Nutzerinformation.
CRA-Meldungen beginnen nicht mit jeder neuen CVE oder jedem Lieferantenhinweis. Entscheidend sind eine belastbare Triage, der dokumentierte Kenntniszeitpunkt sowie der Produkt-, Versions- und Komponentenbezug.
CRA-Meldungen über die ENISA Single Reporting Platform verlangen mehr als Fristenkontrolle. Entscheidend sind belastbare Zeitstempel, vorgehaltene Produktdaten und klare Entscheidungsrechte zwischen PSIRT, Entwicklung, Legal und Kommunikation.
Die Niederlande haben NIS2 und CER seit August 2026 umgesetzt. Was läuft gut, wo bestehen Probleme und wie unterscheidet sich der Ansatz von Deutschland?
Hybride Bedrohungen verbinden Sabotage, Cyberangriffe, Drohnensichtungen und Desinformation zu komplexen Störungslagen. KRITIS-Betreiber benötigen deshalb einen abgestimmten Rahmen aus risikobasiertem Objektschutz, integriertem Lagebild, Krisenorganisation, Ersatzversorgung und Wiederanlauf.