Seit dem 11. September 2026 gilt die 24-Stunden-Meldepflicht für aktiv ausgenutzte Schwachstellen. Wer vernetzte Sensorik in Gebäuden betreibt, hängt damit an einer verbindlichen Zusage seines Lieferanten. Kann der Anbieter Prozess, Reaktionszeiten und Update-Zusagen nicht belegen, wandert das Betriebs- und Kontinuitätsrisiko zu Ihnen als Betreiber.

Die gute Nachricht: Sie müssen kein Security-Audit selbst durchführen. Sie müssen die richtigen Fragen stellen, schriftlich, und die Antworten bewerten können. Dieser Beitrag übersetzt die regulatorischen Anforderungen in sechs konkrete Fragen, die Sie Ihrem Sensor- und Plattformanbieter vor der nächsten Erweiterung stellen sollten. Sie lesen, welche Nachweise dokumentiert sein müssen, welche Antworten einen Anbieterwechsel rechtfertigen und was fehlende Zusagen für Ihre eigene Überwachung bedeuten.

Von der Meldepflicht ab 11. September 2026 über die sechs Fragen bis zum Fazit: Sie erhalten einen klaren Prüfpfad, den Sie in zwei Wochen abarbeiten können.

Als Schwedens größter Lieferant begleiten wir Sie bei Auswahl und Betrieb zuverlässiger Sensorlösungen.

Meldepflicht ab 11. September 2026: Was gilt und warum sie Sie trifft

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) gilt seit Dezember 2024, die Pflichten greifen schrittweise. Die Meldepflicht nach Art. 14 ist ab dem 11. September 2026 verbindlich, nicht erst 2027, bestätigt durch die Europäische Kommission zu den Meldeobligationen. Für Anbieter bedeutet das, den Meldeablauf schon vorher zu üben, statt ihn im Ernstfall zum ersten Mal aufzusetzen.

Die Meldekette in Alltagssprache

Nach dem ENISA-Factsheet zur zentralen Meldeplattform CRA-SRP gilt für Hersteller: Erstmeldung innerhalb von 24 Stunden; Meldung mit allgemeinen Informationen und erster Einschätzung innerhalb von 72 Stunden; Abschlussbericht bei aktiv ausgenutzten Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme; Abschlussbericht bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.

Der Taktgeber ist das Bekanntwerden

Der Ablauf beginnt mit Kenntnis des Herstellers von aktiv ausgenutzter Schwachstelle oder schwerwiegendem Vorfall. Die Uhr startet in dem Moment, in dem der Hersteller davon erfährt; was als aktiv ausgenutzte Schwachstelle und als schwerwiegender Vorfall gilt, steht in Art. 3 Abs. 42 und 44 sowie in Art. 14 Abs. 5 der Verordnung.

Der Weg der Meldung

Die Meldung geht an die nationale Sicherheitsstelle, die CRA-Meldungen entgegennimmt (in der Regel die Stelle im Hauptsitzland des Herstellers), und von dort an ENISA und die betroffenen Mitgliedstaaten. Betreiber sitzen nicht am Meldekanal, sondern an der reagierenden Stelle.

Rollenverteilung im Klartext

Meldepflichtig sind Hersteller, nicht Gebäudebetreiber. Direkte Betreibermeldepflicht oder automatische vertragliche Weitergabe ist in geprüften Quellen nicht belegt. Fehlende Nachweise verschieben Betriebs- und Kontinuitätsrisiko zu Ihnen: Empfehlung, keine Rechtsfeststellung. Prüfen Sie die rechtliche Einordnung für Ihren Einzelfall; die folgenden sechs Fragen sind Beschaffungs- und Kontrollinstrument.

So arbeiten Sie mit den sechs Fragen

Die sechs Fragen brauchen kein juristisches Vorwissen. Jede ist gleich aufgebaut: Wortlaut zum Kopieren, Begründung, akzeptable Antwort und Warnsignal. So ordnen Sie jede Rückmeldung sofort ein.

Schriftlich stellen, mit Frist. Eine kurze E-Mail an den Anbieter, alle sechs Fragen als Liste, Antwort bis zu einem festen Termin in zwei Wochen, am liebsten in einem gemeinsamen Dokument statt in mehreren Telefonaten. Telefonate verwischen Details; was gesagt wurde, können Sie später nicht belegen.

Antworten dokumentieren. Die Rückmeldungen gehören in die Beschaffungsakte zur nächsten Erweiterung, damit sie bei Ausschreibung, Versicherung oder Audit auffindbar sind. Eine mündliche Zusage ist bei einem Vorfall kein Nachweis. Legen Sie jede Antwort datiert ab, samt Absender und Version.

Einordnung offenlegen. Die Fragen und Antwortmaßstäbe sind unsere Praxiserfahrung aus Sensor- und Plattformprojekten, keine normative Vorgabe des CRA.

Nachfassen statt nachgeben. Bei ausweichenden Antworten nicht im Gespräch nachbohren, sondern schriftlich konkret nachfassen und die Lücke im Dokument festhalten. Eine offene Lücke ist besser als eine scheinbar beruhigende Antwort. Bleibt eine Antwort ganz aus, ist auch das ein Ergebnis. Für die spätere Ausschreibung lohnt der Blick auf Maßstäbe jenseits von Feature-Listen und auf Kriterien für den Dauerbetrieb (die beiden Beispiele zur Plattformauswahl sind auf Schwedisch).

Frage 1: Wie erkennen und melden Sie eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden?

Die erste Frage prüft, ob hinter der Frist ein gelebter Ablauf steht. Fragen Sie schriftlich: „Beschreiben Sie bitte Ihren internen Prozess von der Kenntnisnahme bis zur Erstmeldung über die zentrale Meldeplattform, einschließlich der verantwortlichen Person und der Vertretung.“ Diese Frist verzeiht keine Improvisation. Wer den Ablauf nicht beschreiben kann, hat ihn meist nicht und verliert im Ernstfall Tage.

Akzeptabel ist eine benannte Sicherheitskontaktstelle mit Vertretung, ein Eingangskanal für Meldungen von außen, dokumentierte Schritte bis zur Meldung, die Angabe, wer die Erstmeldung verfasst und abgibt, und ein Hinweis, wie der Ablauf geübt wird. Warnsignale: nur eine allgemeine Support-Adresse, keine benannte Person, „wir melden, wenn etwas ist“, der Satz „das kommt erst 2027“ oder ein Prozess, den nur eine Person kennt. Dokumentieren Sie die Antwort so sorgfältig wie Ihre Messdaten, aus denen Sie Einsparungen im Gebäude ableiten.

Frage 2: Wie erfahre ich als Betreiber von einer Schwachstelle in meinem Bestand?

Frage 1 hat den internen Prozess des Anbieters geprüft. Jetzt geht es um den Weg zu Ihnen: „Über welchen Weg und innerhalb welcher Frist informieren Sie uns über eine aktiv ausgenutzte Schwachstelle in Geräten oder Software, die wir von Ihnen betreiben, und welche Angaben erhalten wir dabei?“

Die Behördenfristen helfen erst, wenn die Information bei Ihnen ankommt. Sonst erfahren Sie von einem Vorfall durch eine Störung, nicht durch eine Nachricht.

Eine akzeptable Antwort nennt zwei benannte Kontaktwege, etwa eine Advisory-Liste und eine E-Mail an eine definierte Rolle. Dazu gehören Angaben zu betroffenen Produktfamilien und Firmware-Ständen, ob eine Korrektur verfügbar ist, und ein Zeitfenster für die Information der Betreiber. Fragen Sie bewusst nach zwei Wegen, weil ein Kanal bei einem Vorfall selbst ausfallen kann.

Warnsignale: Informationen nur im Kundenportal hinter einem Login, keine Angabe betroffener Versionen, Betroffenheit erst nach Ihrer Rückfrage oder die Aussage, man informiere nur auf Anfrage. Ein zuverlässiger Informationsweg ist selbst eine Plattformfunktion, die im Feld zählt.

Frage 3: Wie lange unterstützen Sie meine bereits verbauten Geräte mit Sicherheitsupdates?

Nach dem Meldeweg folgt die Frage nach der Lebensdauer. Wortlaut: „Nennen Sie uns bitte für jede bei uns eingesetzte Produktfamilie das Enddatum der Sicherheitsunterstützung, die reguläre Patch-Kadenz und den Ablauf am Ende der Unterstützung.“

Warum sie zählt: Sensorik bleibt oft viele Jahre im Gebäude und überdauert die übliche Gewährleistung deutlich. Fehlt ein Enddatum, planen Sie eine Erweiterung auf Geräten, die morgen ohne Sicherheitskorrekturen dastehen. Wie lange Sensoren im Feld bleiben können, zeigt diese Anwendung im Stadtraum (der Artikel ist auf Schwedisch).

Akzeptable Antwort: konkrete Datumsangaben je Produktfamilie statt einer allgemeinen Formel, eine zugesagte Behandlung aktiv ausgenutzter Schwachstellen außerhalb der regulären Kadenz und ein Prozess am Ende der Unterstützung mit letztem Patch und benannter Ersatzempfehlung.

Warnsignal: „so lange wie nötig“, kein Datum je Produktfamilie, Support endet mit der Gewährleistung oder Abkündigung ohne Ersatzpfad. Achten Sie auch darauf, ob das Enddatum stillschweigend wandert, sobald eine neue Produktgeneration erscheint.

Frage 4: Wie kommt ein Update auf meine Geräte, und wie lange dauert das?

Ein Enddatum der Unterstützung sagt Ihnen, wie lange es Updates überhaupt gibt, aber nicht, ob sie ankommen. Genau das klären Sie mit der vierten Frage.

Wortlaut: „Beschreiben Sie den Weg eines Sicherheitsupdates vom Hersteller bis zu unseren verbauten Geräten, einschließlich Dauer, Rücksetzmöglichkeit und Verhalten bei Geräten ohne Fernzugriff.“

Warum sie zählt: Eine Meldung innerhalb von 24 Stunden ist wenig wert, wenn die Korrektur erst Monate später auf dem Sensor ankommt. Sicherheitskorrekturen einspielen zu können, gehört zu den Grundanforderungen des CRA an Produkte mit digitalen Elementen.

Akzeptable Antwort: ein dokumentierter Weg über Fernwartung, Gateway oder Vor-Ort-Einsatz, die typische Dauer von der Freigabe bis zum Feldgerät, eine Rückfallebene bei fehlerhaften Updates, ein Testschritt vor dem breiten Rollout und eine Aussage zu Geräten, die nur selten senden und deshalb schlecht erreichbar sind.

Warnsignal: Updates ausschließlich per Termin vor Ort, keine Rückfallebene, keine Versionsangaben in der Dokumentation oder Updates nur im Rahmen einer Neuinstallation. Bei batteriebetriebener Funktechnik fragen Sie zusätzlich, wie ein Update ohne dauerhafte Stromversorgung angestoßen wird. Wie weit solche Funkstrecken tragen können, zeigt unser Blick auf LoRaWAN-Reichweiten.

Damit ist der Weg geklärt, aber noch nicht, ob der Anbieter ihn in der Vergangenheit tatsächlich gegangen ist.

Frage 5: Können Sie Ihre Sicherheitshinweise und Schwachstellenbearbeitung der letzten 24 Monate zeigen?

Doch selbst ein guter Update-Weg belegt noch kein Verhalten im Ernstfall. Deshalb die fünfte Frage, die Sie wörtlich stellen können:

„Bitte senden Sie uns eine Übersicht Ihrer veröffentlichten Sicherheitshinweise, Ihrer Schwachstellenmeldestelle und der Produktfamilien, für die eine Software-Stückliste auf Anfrage verfügbar ist, jeweils für die letzten 24 Monate.“

Ein Prozess lässt sich behaupten, Verhalten nicht. Die Historie zeigt, ob der Anbieter Schwachstellen bearbeitet, bevor jemand darauf zeigt, und ob er mit fremden Meldungen umgehen kann.

Akzeptable Antwort: Sicherheitshinweise mit eindeutigen Kennungen, öffentlich oder auf Anfrage; ein benannter Weg für Hinweise von außen; eine klare Aussage, ob die zentrale Meldeplattform genutzt wird; eine Software-Stückliste für eingesetzte Software auf Anfrage; und ein Beispiel, wie ein Hinweis von außen abgearbeitet wurde.

Warnsignal: keine Historie, keine Hinweis-Seite, der Satz „Wir hatten noch nie eine Schwachstelle“ oder Verweise auf Sicherheitszertifikate, die nichts über Produktupdates sagen. Fehlende Historie ist kein Beweis für Unsicherheit, aber sie nimmt Ihnen jede Möglichkeit zur Vorbereitung. Damit prüfen Sie die Vergangenheit. Frage 6 klärt, ob daraus bindende Zusagen werden.

Frage 6: Steht das alles in meinem Vertrag, und was passiert bei Nichteinhaltung?

Die Historie zeigt Ihnen, wie ein Anbieter arbeitet. Entscheidend ist aber, was davon für Sie einklagbar ist. Stellen Sie deshalb schriftlich: Welche der genannten Zusagen sind in unserem Vertrag oder in einer Anlage dazu schriftlich festgehalten, mit welchen Fristen, und welche Folgen hat eine Nichteinhaltung? Der Vertrag ist die einzige Stelle, an der eine Zusage für Sie durchsetzbar wird. Eine akzeptable Antwort enthält eine schriftliche Klausel zur Information über Schwachstellen und Vorfälle mit Fristen und Ansprechpartner, einen zugesagten Update-Zeitraum je Produktfamilie, eine definierte Reaktion bei aktiv ausgenutzten Schwachstellen, Dokumentationspflichten, eine Exit-Regelung mit Datenexport sowie einen klaren Preis- und Ersatzpfad am Ende der Unterstützung. Ein Leitfaden zu offenen IoT-Plattformen hilft, Exit-Regeln vorab zu prüfen. Warnsignale sind mündliche Zusagen, Verweis auf allgemeine Bedingungen ohne Fristen, fehlende Exit-Regelung, kein Datenexport oder eine Klausel, die Sicherheitsupdates ausdrücklich ausnimmt. Lassen Sie die Klauseln vor der Unterschrift von Ihrer Rechtsabteilung prüfen, nicht erst nach der ersten Störung.

Wenn Zusagen fehlen: Was das für Ihre eigene Überwachung bedeutet

Selbst der beste Vertrag entbindet Sie nicht von der laufenden Überwachung. Fehlen Zusagen, halten diese fünf Schritte den Betrieb kontrollierbar.

Bestand prüfbar machen: Führen Sie eine Liste mit Gerätetypen, Firmware-Ständen und Enddaten der Unterstützung. Ohne sie können Sie bei einem Vorfall nicht kurzfristig sagen, ob Ihre Anlage betroffen ist, und genau diese Antwort verlangt Ihr Umfeld.

Früherkennung absichern: Abonnieren Sie die Sicherheitshinweise Ihres Anbieters, lassen Sie sich Anomalien und Ausfälle in den Sensordaten melden und legen Sie fest, wer diese Meldungen liest. Ein Alarm, den niemand sieht, ist kein Alarm.

Ausweichplan festhalten: Fehlt eine Zusage, entscheiden Sie bewusst zwischen dokumentierter Risikoakzeptanz und Ersatz. Beides ist zulässig; nur das Nicht-Entscheiden ist bei einem Audit nicht erklärbar.

Anforderungen mitnehmen: Übertragen Sie die sechs Fragen in Ihre Ausschreibungs- oder Bestellunterlagen. So wird aus einer einmaligen Prüfung ein Standard für jeden neuen Sensor und jede Plattformkomponente. Wie Sie Plattformen systematisch vergleichen, zeigt die Checkliste zur Plattformbewertung.

Anschlussfähig bleiben: Bei einem Vorfall verlangt Ihr Umfeld nach belastbaren Nachweisen zu Ihren Betreiberpflichten. Eine kurze, datierte Zusammenfassung der Anbieterantworten ist belastbarer als die Erinnerung an ein Telefonat.

Fazit: Sechs Fragen, zwei Wochen, ein belastbares Ergebnis

Mit dieser Liste in der Hand endet die Prüfung nicht, sie beginnt. Der Aufwand: eine E-Mail, ein Termin, zwei Wochen Frist.

Bewerten Sie die Antworten an vier Maßstäben: benannte Person, belegter Prozess, konkretes Datum, schriftliche Klausel. Fehlt mehr als einer davon, ist das ein Warnsignal und kein Formfehler. Entscheiden Sie danach bewusst zwischen bleiben mit dokumentiertem Risiko, nachverhandeln mit klaren Klauseln oder wechseln. Alle drei Wege sind vertretbar, solange die Entscheidung schriftlich vorliegt. Für die technische Einordnung sind wir gern Ihr Gesprächspartner: Schreiben Sie an info@nodeledge.se oder rufen Sie uns unter +46(0)500 6000 22 an.

Häufig gestellte Fragen

Ab wann gilt die Meldepflicht nach dem Cyber Resilience Act und wen betrifft sie?

Die Meldepflicht nach Art. 14 des Cyber Resilience Act (Verordnung (EU) 2024/2847) ist ab dem 11. September 2026 verbindlich. Meldepflichtig sind die Hersteller, nicht die Gebäudebetreiber. Direkte Betreibermeldepflicht oder automatische vertragliche Weitergabe ist in den geprüften Quellen nicht belegt. Fehlen Nachweise, wandert das Betriebs- und Kontinuitätsrisiko laut Beitrag zum Betreiber.

Welche Fristen gelten für die Meldungen des Herstellers?

Laut ENISA-Factsheet zur Meldeplattform CRA-SRP gilt für Hersteller: Erstmeldung innerhalb von 24 Stunden; Meldung mit allgemeinen Informationen und erster Einschätzung innerhalb von 72 Stunden; Abschlussbericht bei aktiv ausgenutzten Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme; Abschlussbericht bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung. Die Uhr startet, sobald der Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall erfährt.

Welche sechs Fragen sollte ich meinem Sensor- oder Plattformanbieter stellen?

1. Wie erkennen und melden Sie eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden? 2. Wie erfahre ich als Betreiber von einer Schwachstelle in meinem Bestand? 3. Wie lange unterstützen Sie meine bereits verbauten Geräte mit Sicherheitsupdates? 4. Wie kommt ein Update auf meine Geräte, und wie lange dauert das? 5. Können Sie Ihre Sicherheitshinweise und Schwachstellenbearbeitung der letzten 24 Monate zeigen? 6. Steht das alles in meinem Vertrag, und was passiert bei Nichteinhaltung? Die Fragen sollten schriftlich mit einer Antwortfrist von etwa zwei Wochen gestellt werden.

Woran erkenne ich, ob die Antworten des Anbieters ausreichend sind?

Bewerten Sie die Antworten an vier Maßstäben: benannte Person, belegter Prozess, konkretes Datum und schriftliche Klausel. Fehlt mehr als einer davon, ist das laut Beitrag ein Warnsignal und kein Formfehler. Danach können Sie bewusst bleiben mit dokumentiertem Risiko, nachverhandeln mit klaren Klauseln oder wechseln. Alle drei Wege sind vertretbar, solange die Entscheidung schriftlich vorliegt.

Was sollte ich tun, wenn der Anbieter Zusagen nicht schriftlich macht?

Fragen Sie nicht im Gespräch nach, sondern nachfassen schriftlich und halten Sie die Lücke im Dokument fest, denn eine offene Lücke ist besser als eine scheinbar beruhigende Antwort. Bleibt eine Antwort ganz aus, gilt auch das als Ergebnis. Zusätzlich sollten Sie Ihre eigene Überwachung absichern: Bestand mit Gerätetypen, Firmware-Ständen und Enddaten führen, Sicherheitshinweise abonnieren, Anomalien in den Sensordaten melden lassen und eine dokumentierte Entscheidung zwischen Risikoakzeptanz und Ersatz treffen.