Ab morgen: 24 Stunden, um nach Brüssel zu melden

Ab morgen gilt für jeden Schweizer Hersteller, der ein vernetztes Produkt in die EU verkauft, eine Frist von 24 Stunden. Wer erfährt, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird, muss das der zuständigen europäischen Meldestelle innert eines Tages melden. Es gibt keine Umsatzschwelle, keine Mitarbeiterzahl, unter der die Pflicht entfällt, und sie gilt auch für Geräte, die vor Jahren ausgeliefert wurden. Die Schweiz kennt seit anderthalb Jahren eine eigene 24-Stunden-Meldepflicht. Sie betrifft ein paar hundert Betreiber kritischer Infrastruktur. Die europäische betrifft alle.

Was ab morgen zu melden ist

Die Verordnung (EU) 2024/2847, in Kraft seit dem 10. Dezember 2024, gilt in ihrer Substanz erst ab dem 11. Dezember 2027. Ein einziger Artikel wird vorgezogen, und zwar um fünfzehn Monate: Artikel 14, die Meldepflicht. Zwei Ereignisse lösen sie aus, eine aktiv ausgenutzte Schwachstelle und ein schwerwiegender Sicherheitsvorfall. Der Ablauf ist dreistufig und in beiden Fällen gleich: Frühwarnung «unverzüglich und in jedem Fall innerhalb von 24 Stunden» ab Kenntnis, Meldung mit Details nach 72 Stunden, Abschlussbericht spätestens 14 Tage nachdem eine Korrekturmassnahme verfügbar ist. Bei Vorfällen beträgt die letzte Frist einen Monat.

Gemeldet wird gleichzeitig an das federführende nationale CSIRT und an die europäische Cybersicherheitsagentur Enisa, über eine einzige Plattform, die laut Kommission ab morgen läuft. Dazu kommt die Pflicht, die betroffenen Nutzer zu informieren, «soweit angebracht in einem strukturierten, maschinenlesbaren Format». Tut der Hersteller das nicht rechtzeitig, darf die Meldestelle die Nutzer selbst informieren.

Eine Erleichterung steht in den amtlichen Erläuterungen der Kommission: Eine Pflicht zur aktiven Überwachung gibt es nicht. Die Frist beginnt mit der tatsächlichen Kenntnis, nicht mit dem Zeitpunkt, zu dem man es hätte wissen können. Wer also nicht hinschaut, meldet später. Das ist rechtlich sauber und praktisch heikel, weil die Kunden hinschauen.

Wen es trifft, und wen nicht

Erfasst sind «Produkte mit digitalen Elementen», also alles, was direkt oder indirekt Daten mit einem Gerät oder Netz austauscht: die Steuerung einer Werkzeugmaschine, das Firmware-Update einer Pumpe, eine Software, eine vernetzte Kaffeemaschine. Verpflichtet ist der Hersteller. Ausgenommen sind Medizinprodukte, Fahrzeuge, Luftfahrt und Schiffsausrüstung, weil dort eigene Regeln gelten, sowie Open-Source-Software, die nicht kommerziell vertrieben wird. Reines Software-as-a-Service fällt nicht darunter, wohl aber eine Cloud-Komponente, ohne die das Gerät eine seiner Funktionen nicht erfüllen kann.

Der Punkt, den die meisten übersehen, steht in Artikel 69. Absatz 2 stellt Produkte frei, die vor dem 11. Dezember 2027 auf den Markt kamen, solange sie nicht wesentlich verändert werden. Absatz 3 nimmt das für die Meldepflicht ausdrücklich zurück: Artikel 14 «gilt für alle Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden». Eine Maschine, die 2019 nach Deutschland ging und dort noch läuft, ist ab morgen meldepflichtig, auch wenn für sie nie eine CE-Konformität nach dieser Verordnung nötig sein wird.

Bei den Bussen sieht Artikel 64 für Verstösse gegen die Melde- und Schwachstellenpflichten bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor, je nachdem, was höher ist. Ob dieser Rahmen schon ab morgen greift oder erst mit dem Rest der Verordnung im Dezember 2027, ist unter Anwaltskanzleien umstritten; die Marktüberwachung wird erst 2027 anwendbar, mehrere internationale Kanzleien gehen dennoch von einer sofortigen Sanktionierbarkeit aus. Sicher ist die Gegenausnahme in Absatz 10: Kleinst- und Kleinunternehmen können für das Verpassen der 24-Stunden-Frist nicht gebüsst werden. Die 72 Stunden und der Abschlussbericht gelten für sie trotzdem.

Der Schweizer Vergleich

Seit dem 1. April 2025 kennt die Schweiz eine eigene Meldepflicht, verankert in Artikel 74a ff. des Informationssicherheitsgesetzes. Auch sie verlangt eine erste Meldung binnen 24 Stunden, ergänzt binnen 14 Tagen. Sie gilt aber nur für Betreiber kritischer Infrastrukturen: Energie, Wasser, Gesundheit, Finanzen, Verkehr, Informatik, Verwaltung. Ein Maschinenbauer im Toggenburg fällt nicht darunter. Die Busse beträgt bis zu 100’000 Franken und ist seit dem 1. Oktober 2025 möglich, allerdings erst, nachdem das Bundesamt für Cybersicherheit eine Verfügung erlassen hat.

Die Mengen zeigen den Unterschied im Anspruch. Vom 1. April bis Ende Dezember 2025 gingen beim BACS 222 Pflichtmeldungen ein, im ersten Halbjahr 2026 weitere 200, zusammen 422. Freiwillige Meldungen aus der Bevölkerung und von Firmen gab es im gleichen Halbjahr 27’128. Die Pflichtmeldungen sind, gemessen am Verkehr, eine Randnotiz, und genau das war die Absicht: Der Bund wollte wissen, was in den Netzen passiert, von denen das Land abhängt, und sonst niemanden belasten.

Ein Schweizer Gegenstück zum CRA gibt es nicht. Der Bundesrat hat am 20. August 2025 das VBS beauftragt, zusammen mit BACS, Bakom und Seco bis Herbst 2026 eine Vernehmlassungsvorlage zur Cyberresilienz digitaler Produkte auszuarbeiten; sie soll den CRA berücksichtigen, aber «an die Schweiz als Wirtschaftsstandort angepasst» sein. In der Zwischenzeit gilt für Schweizer Hersteller das europäische Recht, weil es an den Marktzugang anknüpft und nicht an den Firmensitz.

Was ein Schweizer Hersteller heute noch tun kann

Erstens klären, an wen er überhaupt meldet. Ohne Niederlassung in der EU führt der Weg über den Bevollmächtigten, sonst über den Importeur, sonst über den Händler, sonst über den Mitgliedstaat mit den meisten Nutzern. Ein Bevollmächtigter nach Artikel 18 ist entgegen einer verbreiteten Darstellung freiwillig; wer keinen hat, überlässt die Zuständigkeitsfrage seinem Vertriebspartner.

Zweitens eine Kontaktstelle benennen, an die Nutzer Schwachstellen melden können, und eine Meldekette definieren, die auch am Samstagabend funktioniert. Drittens eine Liste jener Produkte erstellen, die noch im EU-Markt sind, inklusive der alten. Das ist die Pflicht, die morgen beginnt, und die einzige, für die eine Stückliste der verbauten Software kein Papier, sondern ein Werkzeug ist: Ohne sie lässt sich in 24 Stunden nicht beantworten, ob die Lücke im eigenen Gerät steckt.

Auffällig ist, was in der Schweiz bisher nicht kommuniziert wird. Das CRA-Dossier von Swissmem, zuletzt im Februar 2026 aktualisiert, arbeitet mit dem Datum Dezember 2027 und erwähnt weder den morgigen Termin noch die Rückausnahme für Altprodukte. Wer sich darauf verlassen hat, hat noch einen Tag.

Wer in einem Schweizer Betrieb an der CRA-Umsetzung sitzt und weiss, wie weit die Branche wirklich ist: [email protected]. Wir behandeln Zuschriften auf Wunsch anonym.