Plattform & Regulatorische Ankündigungen
Bleiben Sie über Meilensteine des Cyber Resilience Act, regulatorische Leitlinien und Plattform-Updates informiert.
Nein. ETSI hat am 13. August 2026 das Genehmigungsverfahren für 17 vertikale Normen zum Cyber Resilience Act eröffnet, und das Amtsblatt hat keine davon veröffentlicht. Die Konformitätsvermutung nach Artikel 27 beginnt mit der Fundstelle, nicht mit der Genehmigung.
CISA, NSA, JPCERT/CC, NCSC-NL und NCSC-UK haben gemeinsame Leitlinien für den Aufbau eines Coordinated-Vulnerability-Disclosure-Programms veröffentlicht. Wir haben jede Empfehlung mit CVD Portal abgeglichen.
Der CRA verlangt eine Richtlinie zur koordinierten Offenlegung von Schwachstellen, ein Bug Bounty ist optional. Unser neuer Leitfaden erklärt, wie die beiden Ansätze zusammenhängen und wie KI-Triage mit wachsendem Meldevolumen Schritt hält.
Die Niederlande haben die Frist zur Umsetzung von NIS2 um fast zwei Jahre verpasst. Die Cyberbeveiligingswet hat nun das Abgeordnetenhaus passiert, und die Regierung strebt das Inkrafttreten zum 1. Juli 2026 an, ohne Übergangsfrist und mit persönlicher Haftung der Geschäftsleitung. Unser neuester Beitrag führt niederländische Führungskräfte durch die vier Pflichten, die die Arbeit der Vorstände verändern.
Eine einzige ausgenutzte Schwachstelle kann zugleich eine CRA-Frühwarnung, eine NIS2-Meldung über einen erheblichen Vorfall und eine DSGVO-Verletzungsmeldung auslösen, jede mit eigener Frist und an eigene Behörde. Unser neuester Beitrag zeigt, wo sich die Pflichten überschneiden und wo sie auseinandergehen.
In einem Interview mit Help Net Security ging Nuno Rodrigues Carvalho, Leiter des Sektors für Vorfall- und Schwachstellendienste bei ENISA, auf den jüngsten Finanzierungsschreck bei CVE, die EU-Regulierungsdurchsetzung und die Frage ein, warum die Offenlegung von Schwachstellen zu einem Wettbewerbsvorteil wird.
Der EU Cyber Resilience Act entwickelt sich zu einem der wichtigsten Treiber für Entscheidungen über Sicherheitsinvestitionen in ganz Europa.
Während die Europäische Union ihren digitalen Markt weiter stärkt, werden die Beteiligten daran erinnert, dass der erste entscheidende Compliance-Meilenstein des Cyber Resilience Act (CRA) näher rückt. Ab dem 11. September 2026 sind Hersteller von Produkten mit digitalen Elementen gesetzlich verpflichtet.
Zur Unterstützung der Umsetzung des Cyber Resilience Act (Verordnung EU 2024/2847) hat die Europäische Kommission Leitlinienentwürfe veröffentlicht, die die Kategorisierung und die Konformitätserwartungen für Produkte mit digitalen Elementen (PDE) präzisieren.
Die Agentur der Europäischen Union für Cybersicherheit (ENISA) gibt den Beginn der Pilottestphase für die zentrale Meldeplattform (Single Reporting Platform, SRP) bekannt. Die durch den CRA vorgeschriebene SRP wird als zentrale Infrastruktur dienen, über die Hersteller Frühwarnungen und Vorfallmeldungen einreichen.
Nach Artikel 10 des Cyber Resilience Act ist die Einführung einer Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD) keine optionale Best Practice mehr, sondern eine strikte gesetzliche Anforderung für alle Hersteller von PDEs.
Die Europäische Kommission hat in Abstimmung mit Cybersicherheitsbehörden aktualisierte Klarstellungen zur regulatorischen Behandlung von freier und quelloffener Software (FOSS) unter dem CRA veröffentlicht.
Im Rahmen des Meldesystems des CRA müssen Hersteller ihren Sicherheitsbetrieb an strenge Meldefristen anpassen. Sobald sie von einer aktiv ausgenutzten Schwachstelle oder einem Vorfall mit schwerwiegenden Auswirkungen Kenntnis erlangen, sind die Stellen gesetzlich verpflichtet, innerhalb von 24 Stunden eine Frühwarnung einzureichen.
Die europäischen Normungsorganisationen CEN und CENELEC melden erhebliche Fortschritte bei der Ausarbeitung der von der Europäischen Kommission für den Cyber Resilience Act angeforderten harmonisierten Normen.
Ab dem 11. Juni 2026 tritt der Rechtsrahmen für „notifizierte Stellen“ unter dem CRA offiziell in Kraft. Diese unabhängigen, externen Konformitätsbewertungsstellen werden eine zentrale Rolle bei der Prüfung und Zertifizierung „wichtiger“ und „kritischer“ Produkte spielen.
Hersteller werden daran erinnert, dass die Meldepflichten des CRA für Schwachstellen, die im September 2026 in Kraft treten, für alle derzeit auf dem Unionsmarkt aktiven Produkte mit digitalen Elementen gelten, nicht nur für neue Produkte, die nach Inkrafttreten der Gesetzgebung eingeführt werden.
Im Einklang mit der NIS2-Richtlinie und dem Cyber Resilience Act treibt ENISA derzeit die Integration der Europäischen Schwachstellendatenbank (EUVD) mit der neu eingerichteten zentralen CRA-Meldeplattform (SRP) voran.