Am 11. September 2026 tritt die erste konkrete Pflicht aus dem Cyber Resilience Act (CRA) in Kraft: Wer ein „Produkt mit digitalen Elementen“ auf dem EU-Markt bereitstellt, muss aktiv ausgenutzte Sicherheitslücken künftig innerhalb von 24 Stunden melden [BSI]. Das klingt erstmal nach einem Thema für Hardware-Hersteller und IoT-Konzerne. Ist es aber nicht nur. Auch ein Online-Shop, eine Software-as-a-Service-Lösung oder ein Plugin, das du kommerziell vertreibst, kann darunterfallen.
Ich bekomme in letzter Zeit öfter die Frage, ob das „nur die Großen“ betrifft. Kurze Antwort: nein. Der CRA sieht keine allgemeine Ausnahme für kleine und mittlere Unternehmen vor [EUR-Lex]. Zeit, sich das in Ruhe anzuschauen.
Was der Cyber Resilience Act überhaupt regelt
Der Cyber Resilience Act ist die EU-Verordnung (EU) 2024/2847 und legt erstmals einheitliche Cybersicherheits-Mindeststandards für „Produkte mit digitalen Elementen“ fest – also für Hardware und Software, die mit einem Netzwerk verbunden werden kann [EUR-Lex]. Er ist seit Dezember 2024 in Kraft, wird aber gestaffelt wirksam:
- 11. September 2026: Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle beginnt.
- 11. Dezember 2027: Die vollständigen Herstellerpflichten inklusive CE-Kennzeichnung und Software-Stückliste (SBOM) werden verbindlich.
Der Teil, der jetzt akut wird, ist also die Meldepflicht – nicht schon die komplette Zertifizierung. Das nimmt etwas Druck raus, ändert aber nichts daran, dass du ab September Prozesse brauchst, die es bei vielen kleinen Shops und Agenturen schlicht noch nicht gibt.
Die 24-Stunden-Frist im Detail
Wird eine Schwachstelle in deinem Produkt aktiv ausgenutzt oder kommt es zu einem schwerwiegenden Sicherheitsvorfall, greift ein dreistufiges Meldeverfahren [BSI]:
- Innerhalb von 24 Stunden: Frühwarnung an die zuständige Behörde (in Deutschland das BSI über CERT-Bund, alternativ die ENISA-Meldeplattform).
- Innerhalb von 72 Stunden: Ausführlichere Meldung mit Einschätzung der Schwere und ersten Gegenmaßnahmen.
- Innerhalb von 14 Tagen nach Verfügbarkeit einer Korrektur: Abschlussbericht.
Wer das versäumt, riskiert Bußgelder bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes – je nachdem, was höher ist [it-daily.net]. In der Praxis wird die Aufsicht bei einem Zwei-Personen-Betrieb vermutlich nicht sofort das Bußgeld-Maximum ausreizen. Aber „vermutlich nicht sofort“ ist kein Compliance-Konzept.
Wer ist „Hersteller“ im Sinne des CRA?
Das ist die Frage, an der die meisten hängen bleiben. Als Hersteller gilt, wer ein Produkt mit digitalen Elementen entwickelt, herstellt oder unter eigenem Namen beziehungsweise eigener Marke auf den Markt bringt [EUR-Lex]. Für den WooCommerce- und WordPress-Alltag heißt das grob:
- Du verkaufst oder vertreibst kommerziell eigene Plugins, Themes oder SaaS-Produkte? Dann bist du wahrscheinlich Hersteller.
- Du betreibst „nur“ einen WooCommerce-Shop mit fremden Plugins und verkaufst physische oder digitale Produkte, die selbst keine digitalen Elemente enthalten? Dann greift der CRA in der Regel nicht direkt bei dir als Shop-Betreiber – wohl aber bei den Herstellern der Plugins, die du einsetzt.
- Reine Dienstleistung (du baust und wartest Websites für andere, ohne eigenes Produkt zu vertreiben)? Auch hier bist du in der Regel kein Hersteller im CRA-Sinn – aber als Auftragnehmer solltest du wissen, welche deiner Kunden betroffen sind.
Kostenlose Open-Source-Software außerhalb kommerzieller Tätigkeit ist ausgenommen [EUR-Lex]. Sobald du dieselbe Software aber im Rahmen einer kommerziellen Tätigkeit anbietest – etwa als Teil eines bezahlten Supportvertrags oder als Premium-Version –, greift die Ausnahme nicht mehr.
Deutschland und Österreich: gleiche Regel, direkt anwendbar
Der CRA ist eine EU-Verordnung, keine Richtlinie. Das bedeutet: Er gilt unmittelbar und in identischer Form in Deutschland und Österreich, ohne dass es dafür ein eigenes nationales Umsetzungsgesetz braucht [EUR-Lex]. Die Meldestelle ist national organisiert – in Deutschland läuft das über das BSI beziehungsweise CERT-Bund, in Österreich ist das nationale CSIRT zuständig. Die Fristen und Pflichten selbst unterscheiden sich zwischen den beiden Ländern nicht.
Schweiz: nicht automatisch, aber oft doch betroffen
Die Schweiz ist kein EU-Mitglied, der CRA gilt dort nicht direkt. Für rein national tätige Schweizer Anbieter ändert sich zunächst nichts. Sobald du als Schweizer Unternehmen aber Produkte mit digitalen Elementen auf den EU-Markt bringst – etwa ein Plugin, ein SaaS-Tool oder eine App, die auch an Kundschaft in der EU verkauft wird –, unterliegst du denselben Pflichten wie ein Anbieter mit Sitz in der EU [Redguard]. Für den Marktzugang wird ab Ende 2027 zusätzlich ein bevollmächtigter Vertreter mit Sitz in der EU nötig, wenn du selbst keine EU-Niederlassung hast [Redguard]. Wer ausschließlich innerhalb der Schweiz verkauft, kann das Thema vorerst beobachten statt sofort handeln.
Was du bis September konkret klären solltest
Ein paar Punkte, die ich jedem empfehlen würde, der ein eigenes Plugin, Theme oder SaaS-Produkt vertreibt oder für Kunden entwickelt:
- Einordnen: Bist du überhaupt „Hersteller“ eines Produkts mit digitalen Elementen – oder „nur“ Betreiber, der fremde Software einsetzt?
- Meldeweg kennen: Wer in deinem Betrieb (und sei es nur du selbst) würde im Ernstfall innerhalb von 24 Stunden an das BSI oder die ENISA melden – und weißt du, wie das technisch abläuft?
- Monitoring einrichten: Ohne eine Vulnerability-Überwachung merkst du eine aktive Ausnutzung oft gar nicht rechtzeitig, um die 24-Stunden-Frist einzuhalten.
- Support-Zeitraum dokumentieren: Der CRA verlangt, dass du für dein Produkt einen Zeitraum für Sicherheitsupdates angibst – das gehört perspektivisch in deine Produktdokumentation.
Für reine WordPress-Wartungskunden, die keine eigene Software vertreiben, ändert sich durch den CRA selbst erstmal wenig. Trotzdem ist jetzt ein guter Zeitpunkt, um zu prüfen, wie schnell Sicherheitsupdates bei dir überhaupt ankommen – denn genau da hakt es in der Praxis meistens, CRA hin oder her. Ich achte bei meinen Wartungsverträgen genau deshalb darauf, dass kritische Updates zeitnah eingespielt werden und nicht erst Wochen später aus Zufall auffallen – siehe die aktuellen Fälle rund um BdThemes oder das WordPress-7.0.3-Sicherheitsupdate.
Häufige Fragen
Betrifft mich der Cyber Resilience Act, wenn ich nur einen WooCommerce-Shop betreibe?
Direkt in der Regel nicht, solange du selbst kein Produkt mit digitalen Elementen herstellst oder vertreibst. Indirekt betrifft es dich trotzdem, weil die Plugins und Erweiterungen, auf die du dich verlässt, jetzt strengeren Anforderungen unterliegen – siehe zum Beispiel das Sicherheitsupdate für WooCommerce Subscriptions.
Was passiert, wenn ich die 24-Stunden-Frist verpasse?
Grundsätzlich drohen Bußgelder bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes [it-daily.net]. Wie streng das in der Praxis bei kleinen Unternehmen gehandhabt wird, ist zum jetzigen Zeitpunkt noch nicht abschließend erprobt – die Aufsichtsbehörden bauen ihre Strukturen gerade erst auf.
Gilt der CRA auch für kostenlose Plugins?
Reine Open-Source-Software außerhalb kommerzieller Tätigkeit ist ausgenommen. Sobald damit Geld verdient wird – etwa über Support, Pro-Versionen oder Werbung –, kann die Ausnahme entfallen [EUR-Lex].
Ich bin in der Schweiz – muss ich mich jetzt schon kümmern?
Nur, wenn du Produkte mit digitalen Elementen aktiv auf den EU-Markt bringst. Rein national tätige Schweizer Unternehmen sind vorerst nicht betroffen, sollten das Thema aber im Blick behalten, falls sich das Geschäft Richtung EU entwickelt.
Wenn du unsicher bist, ob dein Produkt oder dein Shop unter den Cyber Resilience Act fällt, oder einfach nur sichergehen willst, dass kritische Sicherheitsupdates bei dir nicht erst durch Zufall auffallen – sprich mit mir über dein Projekt, dann schauen wir uns das gemeinsam an.
Quellen
- BSI: Cyber Resilience Act (Bundesamt für Sicherheit in der Informationstechnik, abgerufen August 2026)
- Europäische Kommission: Cyber Resilience Act – Verordnung (EU) 2024/2847
- Redguard AG: Cyber Resilience Act (CRA) betrifft Schweizer Unternehmen
- it-daily.net: Cyber Resilience Act – Was Unternehmen bis September tun müssen (August 2026)