Cyber Resilience Act: Fristen, Pflichten, erster Schritt

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist seit dem 10. Dezember 2024 in Kraft. Er gilt unmittelbar in allen Mitgliedstaaten und braucht kein deutsches Umsetzungsgesetz. Die Pflichten greifen gestaffelt: Meldepflichten ab dem 11. September 2026, die vollen Produktpflichten ab dem 11. Dezember 2027.

EU Cyber Resilience Act: Adressiert sind Hersteller von Produkten mit digitalen Elementen — eine reine Firmenwebsite fällt in der Regel nicht darunter. Meldepflichten ab 09/2026, volle Produktpflichten ab 12/2027.

Wen der CRA betrifft — und wen nicht

Der CRA regelt „Produkte mit digitalen Elementen“, die auf dem EU-Markt bereitgestellt werden: Software und Hardware, die verkauft, verteilt oder öffentlich zum Download angeboten wird. Eine Website als solche ist kein Produkt in diesem Sinne — wer nur eine Firmenwebsite betreibt, wird vom CRA in der Regel nicht als Hersteller erfasst. Wir sagen das ausdrücklich, weil derzeit viel Gegenteiliges behauptet wird.

Betroffen sind Sie, sobald Sie selbst Software in Verkehr bringen: ein WordPress-Plugin, ein Theme, eine TYPO3-Extension, eine App, ein Gerät mit Firmware. Für Agenturen ist das der praktisch wichtigste Fall: Wer für Kunden Erweiterungen entwickelt und weitergibt, kann in die Herstellerrolle rutschen.

Die beiden Fristen

11. September 2026 — Meldepflichten. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden, ein Abschlussbericht später. Empfänger sind das nationale CSIRT und die ENISA. Wer erst am Tag des Vorfalls klärt, wer meldet und über welchen Weg, verliert die 24 Stunden bereits mit dieser Klärung.

11. Dezember 2027 — volle Produktpflichten. Dann gelten die inhaltlichen Anforderungen: Produkte müssen ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden, es braucht einen Umgang mit Schwachstellen über den Unterstützungszeitraum, eine Stückliste der eingesetzten Komponenten, Sicherheitsaktualisierungen und technische Dokumentation.

Der erste Schritt: security.txt nach RFC 9116

Meldepflichten setzen voraus, dass Hinweise Sie überhaupt erreichen. In der Praxis scheitert das erstaunlich oft an der banalsten Stelle: Wer eine Lücke in Ihrem System findet, weiß nicht, an wen er sich wenden soll, und meldet sie deshalb gar nicht — oder veröffentlicht sie.

Die Datei /.well-known/security.txt löst genau das. Sie ist ein maschinen- und menschenlesbarer Meldeweg nach RFC 9116, kostet nichts und ist in fünf Minuten angelegt. Pflichtfelder sind Contact und Expires; ohne Ablaufdatum gilt die Datei als ungültig, und ein abgelaufenes Datum macht sie wertlos.

Nach einer BSI-Messung, über die heise online am 10. August 2026 berichtete, stellen nur 1,8 % der deutschen Websitebetreiber eine security.txt bereit. Wir erzeugen Ihnen eine gültige Datei für Ihre Domain — kostenlos und ohne Konto: security.txt erstellen.

• Meldeweg für Schwachstellen (security.txt)

  Wir rufen die Datei /.well-known/security.txt ab und prüfen die Pflichtfelder nach RFC 9116. Ohne diesen Meldeweg erreichen Hinweise auf Sicherheitslücken Sie oft gar nicht.

Wir sind selbst betroffen — und liefern

Tutador redet nicht nur über den CRA, Tutador fällt selbst darunter: Unsere Konnektoren für WordPress und TYPO3 sind kommerziell bereitgestellte Produkte mit digitalen Elementen. Deshalb liegt jedem Konnektor-Paket eine Software-Stückliste bei (CycloneDX-SBOM), der Meldeweg für Schwachstellen ist öffentlich dokumentiert — samt Zusage, redlichen Meldenden keine rechtlichen Schritte anzudrohen —, und der interne 24-Stunden-Meldeprozess für aktiv ausgenutzte Schwachstellen steht, bevor die Pflicht am 11.09.2026 greift. Wer Ihnen Sicherheitsnachweise verkauft, sollte die eigenen Pflichten erfüllen, bevor er über Ihre spricht.

Warum diese Kategorie als Vorschau läuft

Die CRA-Prüfung zählt bei uns weder für das Tutador-Siegel noch für Ihre Note. Der Grund ist derselbe wie bei der Barrierefreiheit: Die wesentlichen Pflichten gelten erst ab Ende 2027, und was heute prüfbar ist, deckt sie nicht ab. Ein Siegel darauf zu stützen, wäre eine Aussage über einen Rechtsstand, den es noch nicht gibt. Wir zeigen Ihnen den Stand, bewerten ihn aber nicht.

Diese Seite gibt den Rechtsstand vereinfacht wieder und ist keine Rechtsberatung. Ob Sie als Hersteller, Einführer oder Händler gelten und welche Produktklasse einschlägig ist, klären Sie bitte fachlich.

Weiter zur technischen Sicherheitsprüfung — dort steht, was wir sonst noch täglich kontrollieren.

Jetzt kostenlos prüfen