Unternehmen, die in der Europäischen Union tätig sind, müssen von Freitag, 11. September, an schwerwiegende Vorfälle bei der Produktsicherheit binnen 24 Stunden an die zuständige staatliche Stelle melden. Die neue Vorgabe wird dem EU Cyber Resilience Act zugerechnet und setzt eine kurze Frist ab dem Zeitpunkt, zu dem ein Unternehmen einen entsprechenden Vorfall entdeckt.
Für betroffene Unternehmen ist das zunächst keine technische, sondern eine organisatorische Verschärfung. Innerhalb eines Tages müssen sie erkennen, dass ein Vorfall die Meldeschwelle erreicht, die zuständigen Personen einschalten und eine Mitteilung auslösen. Der Engpass liegt damit häufig nicht beim Ausfüllen einer Meldung, sondern in der internen Kette zwischen Produktbetrieb, Sicherheit, Rechtsabteilung und Geschäftsführung.
Die vorliegende Kurzmitteilung lässt allerdings entscheidende Detailfragen offen. Sie definiert weder, welche Unternehmen und Produkte im Einzelnen erfasst sind, noch was als schwerwiegender Vorfall gilt. Auch Adressat, Meldekanal und geforderter Informationsumfang werden darin nicht genannt. Unternehmen sollten die knappe Formulierung deshalb nicht als vollständige Handlungsanweisung behandeln, sondern ihre konkrete Betroffenheit anhand der für sie geltenden Vorschriften prüfen.
Die Frist beginnt mit der Entdeckung
Operativ besonders relevant ist der genannte Startpunkt: die Entdeckung eines schweren Produktsicherheitsvorfalls. Damit hängt die Einhaltung der Frist nicht allein von einer funktionierenden externen Kommunikation ab. Unternehmen müssen intern nachvollziehen können, wann ein Ereignis erstmals erkannt und wie es anschließend bewertet wurde.
Das ist schwieriger, als eine Frist von 24 Stunden zunächst vermuten lässt. Technische Auffälligkeiten erreichen ein Unternehmen über unterschiedliche Wege: durch interne Überwachung, Supportanfragen, externe Sicherheitsforscher, Geschäftskunden oder Dienstleister. Nicht jede Auffälligkeit ist bereits ein schwerer Vorfall. Gleichzeitig darf eine unklare Zuständigkeit nicht dazu führen, dass relevante Hinweise stundenlang zwischen Teams liegen bleiben.
Die praktische Kernfrage lautet daher: Wer darf im Zweifel entscheiden, dass die Meldekette gestartet wird? Wenn diese Entscheidung ausschließlich bei Personen liegt, die nur zu Bürozeiten verfügbar sind, wird die Frist an Wochenenden, Feiertagen oder bei international verteilten Teams schnell zum Risiko. Eine belastbare Regelung braucht benannte Vertretungen, dokumentierte Eskalationswege und einen Zeitstempel für den Eingang eines Hinweises.
Produktinventar wird zur Voraussetzung für Compliance
Eine fristgerechte Meldung setzt außerdem voraus, dass das Unternehmen das betroffene Produkt und seine Verantwortlichen schnell identifizieren kann. Dazu gehören in der Praxis nicht nur Produktnamen. Relevant sind auch interne Eigentümer, eingesetzte Komponenten, zuständige Entwicklungsteams und gegebenenfalls externe Lieferanten oder Betreiber.
Fehlt dieses Inventar, muss die Organisation während eines laufenden Vorfalls erst rekonstruieren, welches Team zuständig ist und welche Kunden oder Systeme betroffen sein könnten. Die 24-Stunden-Frist macht damit Defizite sichtbar, die bislang als Dokumentationsproblem behandelt werden konnten. Unter Zeitdruck werden sie zu einem Compliance-Problem.
Besonders anspruchsvoll ist die Lage für Unternehmen mit vielen digitalen Produkten, unterschiedlichen Tochtergesellschaften oder ausgelagerter Entwicklung. Ein externer Dienstleister kann einen technischen Vorfall entdecken, während die rechtliche Verantwortung an anderer Stelle liegt. Verträge und Betriebsvereinbarungen müssen deshalb festlegen, wie schnell entsprechende Informationen weitergegeben werden und welche Kontaktdaten rund um die Uhr verwendet werden.
Eine Erstmeldung ist keine abgeschlossene Untersuchung
Eine Frist von 24 Stunden bedeutet zwangsläufig, dass zum Meldezeitpunkt nicht jede technische Frage beantwortet sein kann. Umfang, Ursache und Folgen eines Sicherheitsvorfalls lassen sich häufig erst nach forensischer Untersuchung belastbar bestimmen. Unternehmen müssen ihre Prozesse daher darauf ausrichten, verfügbare Erkenntnisse von Vermutungen zu trennen.
Das schützt vor zwei gegensätzlichen Fehlern. Eine Organisation darf die Meldung nicht so lange zurückhalten, bis intern vollständige Gewissheit besteht. Sie sollte aber auch keine unbestätigten Annahmen als gesicherte Ursache oder Auswirkung weitergeben. Welche Angaben tatsächlich vorgeschrieben sind und ob spätere Ergänzungen verlangt werden, geht aus dem gelieferten Ausgangstext nicht hervor und muss anhand der anwendbaren Regelung geklärt werden.
Für Sicherheits- und Compliance-Teams folgt daraus ein konkreter Vorbereitungsbedarf: Sie benötigen eine Vorlage für die Erstbewertung, klare Kriterien für die Eskalation und eine Trennung zwischen bekannten Fakten, offenen Fragen und vorläufigen Einschätzungen. Ohne diese Struktur wird ein erheblicher Teil der 24 Stunden für Abstimmungen über Formulierungen verbraucht.
Die Regulierung verlagert Verantwortung in den Betrieb
Der Cyber Resilience Act wird häufig als Regelwerk für sichere Produkte betrachtet. Die kurze Meldefrist zeigt eine zweite Ebene: Regulierung greift nicht nur in Entwicklung und Produktgestaltung ein, sondern auch in den laufenden Sicherheitsbetrieb. Entscheidend ist nicht allein, ob ein Unternehmen Schwachstellen beheben kann. Es muss relevante Vorfälle rechtzeitig erkennen, intern zuordnen und formell behandeln können.
Damit steigt der Druck auf kleinere Anbieter und Unternehmen, deren Incident Response bislang vor allem technisch organisiert war. Ein Sicherheitsteam kann einen Vorfall untersuchen, ohne automatisch zu wissen, welche juristische Einheit meldepflichtig ist oder welche Behörde kontaktiert werden muss. Umgekehrt kann eine Rechtsabteilung die Frist kennen, ohne Zugriff auf die notwendigen technischen Informationen zu haben.
Die 24-Stunden-Vorgabe macht diese Schnittstelle zum entscheidenden Mechanismus. Wer erst im Ernstfall klärt, wer zuständig ist, verliert die Frist nicht wegen mangelnder Sicherheitstechnik, sondern wegen seiner Organisationsstruktur. Die sinnvollste Vorbereitung besteht deshalb nicht in einer weiteren allgemeinen Richtlinie, sondern in einem getesteten Ablauf vom ersten Hinweis bis zur autorisierten Meldung.
