EU verschärft Haftung für Software-Hersteller

Wer Produkte mit digitalen Komponenten in Europa vertreibt, tritt ab dem Herbst in eine neue Haftungsrealität ein. Ein Meldeverzug kann künftig doppelt Millionen kosten.

Der finanzielle Rahmen setzt den Ton

Der Cyber Resilience Act stellt Verstöße gegen die neuen Produktpflichten unter einen Bußgeldrahmen, der sich am jeweils höheren von zwei Werten orientiert: entweder 15 Millionen Euro oder 2,5 Prozent des globalen Konzernumsatzes. Die vollständigen Produktanforderungen greifen zwar erst am 11. Dezember 2027, samt verpflichtender CE-Kennzeichnung und dem Prinzip Secure-by-Design. Ein wesentlicher Baustein wird jedoch deutlich früher scharf gestellt.

Ein enger Zeitkorridor bei Sicherheitsvorfällen

Ab dem 11. September 2026 sind Hersteller verpflichtet, aktiv missbrauchte Sicherheitslücken innerhalb eines Tages erstmals zu melden und binnen weiterer zwei Tage vollständig zu berichten. Bemerkenswert ist weniger die Zweistufigkeit als das, was fehlt: eine Erheblichkeitsschwelle. Ob ein Vorfall relevant genug ist, entscheidet nicht mehr die interne Bewertung. Das erhöht sowohl die Zahl der Meldungen als auch den Reifedruck auf die Prozesse.

Technische Leitplanken werden konkreter

Auf der Engineering-Seite füllt sich das Vakuum. Am 13. August 2026 hat ETSI das Genehmigungsverfahren für 17 neue Cybersicherheitsstandards angestoßen, die vom Router über den Passwortmanager bis zum IoT-Sensor reichen. Verlangt werden unter anderem eine belastbare kryptografische Grundlage, sichere Voreinstellungen ab Auslieferung, eine offengelegte Software-Zusammensetzung sowie kontinuierliche Update-Fähigkeit. Verbindlichkeit erlangen die Standards ab Dezember 2027, zeitgleich mit den vollen CRA-Produktpflichten.