Ab 11. September 2026 müssen Hersteller aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen melden. Das kann auch vernetzte Werkzeuge und Messgeräte betreffen. Für Käuferinnen und Käufer entsteht dadurch keine eigene Meldepflicht.
Was gesichert ist
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847. Sie gilt grundsätzlich für Hardware- und Softwareprodukte, die in der Europäischen Union auf den Markt gebracht werden und deren vorgesehene oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk umfasst.
Die Verordnung ist seit 10. Dezember 2024 in Kraft. Der Großteil der Anforderungen gilt ab 11. Dezember 2027. Ein Teil beginnt früher: Die Meldepflichten nach Artikel 14 gelten ab 11. September 2026. Hersteller müssen dann aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, die die Sicherheit eines Produkts mit digitalen Elementen beeinträchtigen.
Nach den Informationen der Europäischen Kommission ist zunächst innerhalb von 24 Stunden eine Frühwarnung vorgesehen. Die ausführlichere Meldung folgt innerhalb von 72 Stunden. Bei einer aktiv ausgenutzten Schwachstelle muss spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme ein Abschlussbericht vorliegen. Bei schwerwiegenden Vorfällen beträgt die Frist für den Abschlussbericht einen Monat nach der 72-Stunden-Meldung.
Die Meldung erfolgt über eine zentrale Plattform, die von der EU-Agentur für Cybersicherheit ENISA betrieben wird. Adressat ist das Computer Security Incident Response Team des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat.
Welche Werkzeuge können betroffen sein?
Entscheidend ist nicht, ob ein Gerät einen Akku oder einen Mikrochip besitzt. Relevant ist die vorgesehene oder vorhersehbare Datenverbindung. Daher können beispielsweise Messgeräte mit Bluetooth, Werkzeuge mit App-Anbindung, vernetzte Ladegeräte oder Geräte mit Cloud-Funktionen in den Anwendungsbereich fallen. Ob ein konkretes Modell tatsächlich erfasst ist, hängt von seiner technischen Funktion, der Verbindung und den gesetzlichen Ausnahmen ab.
Ein gewöhnlicher Akkuschrauber ohne Datenverbindung wird durch die neue Meldepflicht nicht automatisch zu einem „digitalen Produkt“. Umgekehrt kann bereits eine indirekte Verbindung relevant sein. Die bloße Bezeichnung „smart“ oder „connected“ ersetzt deshalb keine Prüfung des konkreten Produkts.
Was ändert sich für Käufer?
Die ab 11. September geltende Pflicht richtet sich an Hersteller, nicht an private Nutzerinnen und Nutzer. Käufer müssen Sicherheitsvorfälle nicht selbst an die EU-Plattform melden. Die neue Regel bedeutet auch nicht, dass ab diesem Datum jedes vernetzte Werkzeug bereits sämtliche späteren Produktanforderungen des Cyber Resilience Act erfüllen muss. Die umfassenden Vorgaben werden grundsätzlich erst ab Dezember 2027 anwendbar.
Die Meldepflicht gilt laut Kommission jedoch auch für Produkte mit digitalen Elementen, die bereits vor dem allgemeinen Anwendungsbeginn auf dem EU-Markt angeboten wurden. Damit soll verhindert werden, dass aktiv ausgenutzte Schwachstellen in bestehender Hardware oder Software bis 2027 ohne den neuen Meldeweg bleiben.
Unsere Einordnung
Für Werkzeugkäufer ist der Stichtag kein Grund, funktionierende Geräte vorsorglich auszusortieren. Er ist aber ein sinnvolles Signal, bei vernetzten Produkten nicht nur Drehmoment, Reichweite oder Messgenauigkeit zu vergleichen. Ebenso wichtig werden nachvollziehbare Updatewege, eine erreichbare Sicherheitskontaktstelle und die Frage, wie lange Software oder Firmware unterstützt werden.
Eine App-Funktion ist nur dann ein dauerhafter Vorteil, wenn sie nicht vom kurzfristigen Betrieb eines Kontos oder Cloud-Dienstes abhängt. Vor dem Kauf lohnt sich daher die Prüfung, welche Funktionen offline verfügbar bleiben, ob Firmware-Aktualisierungen dokumentiert sind und ob der Hersteller Sicherheitsinformationen leicht auffindbar veröffentlicht.
Was das für dich heißt
Wenn du ein vernetztes Werkzeug oder Messgerät kaufst, prüfe neben den technischen Daten drei Punkte: Ist die Datenverbindung für die gewünschte Funktion wirklich notwendig? Gibt es einen klar beschriebenen Updateweg? Nennt der Hersteller einen Zeitraum für Sicherheitsunterstützung oder zumindest einen verlässlichen Supportkontakt?
Bei bereits vorhandenen Geräten solltest du verfügbare Sicherheits- und Firmware-Updates einspielen und nicht mehr benötigte Cloud- oder Bluetooth-Funktionen deaktivieren. Eine konkrete Warnung oder ein Rückruf lässt sich aus dem neuen Stichtag allein nicht ableiten. Weitere eingeordnete Änderungen findest du in unserem News-Bereich.
Primärquelle: Europäische Kommission – CRA-Meldepflichten · 31. Juli 2026
Zweitquelle: Europäische Kommission – CRA-Umsetzungsfragen · 4. September 2026