Ab dem 11. September 2026 greifen die ersten Meldepflichten des Cyber Resilience Act (CRA): Hersteller vernetzter Produkte müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle künftig innerhalb von 24 Stunden an die zuständigen Behörden melden. Für den österreichischen Smart-Lock-Hersteller Nuki ist das kein Grund zur Aufregung, sondern die Bestätigung eines Kurses, den das Unternehmen seit der Gründung fährt. Trotzdem macht Nuki Druck: Die neuen Regeln müssten für alle Hersteller gleichermaßen durchgesetzt werden, sonst drohe ein Wettbewerbsnachteil für jene, die schon vorher in Sicherheit investiert haben.
- Was passiert: Ab 11. September 2026 gilt die erste CRA-Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle.
- Fristen: 24 Stunden für eine Frühwarnung, 72 Stunden für eine erweiterte Meldung, 14 Tage für den Abschlussbericht.
- Ab wann voll verpflichtend: 11. Dezember 2027 müssen alle betroffenen Produkte die CRA-Anforderungen vollständig erfüllen.
- Nukis Position: Security-by-Design sei bei Nuki seit über zehn Jahren Standard, der CRA bestätige diesen Kurs, verlange aber konsequente Marktüberwachung.
Was am 11. September 2026 konkret in Kraft tritt
Der Cyber Resilience Act ist seit Dezember 2024 in Kraft, die eigentlichen Pflichten kommen aber gestaffelt. Mit dem 11. September 2026 startet die erste Stufe: Hersteller müssen Schwachstellen und Vorfälle gegenüber der europäischen Cybersicherheitsbehörde ENISA und dem zuständigen nationalen CSIRT melden, in Deutschland ist das das BSI. Die Meldung läuft in drei Schritten ab. Zuerst eine Frühwarnung binnen 24 Stunden mit Produktidentifikation und einer ersten Einschätzung. Dann folgt innerhalb von 72 Stunden eine aktualisierte Meldung mit technischen Details. Den Abschluss bildet ein vollständiger Bericht nach spätestens 14 Tagen.
Betroffen ist praktisch jedes Produkt mit digitaler Komponente und Netzwerkverbindung, vom Smart-Home-Gerät über Industriesteuerungen bis zur Buchhaltungssoftware. Ausnahmen gelten unter anderem für Medizintechnik, zivile Luftfahrt und bestimmte Fahrzeugtypen, die bereits eigenen Regelwerken unterliegen. Ab dem 11. Dezember 2027 müssen dann alle vernetzten Produkte, die in der EU verkauft werden, die vollständigen CRA-Anforderungen erfüllen, von der sicheren Entwicklung bis zur langjährigen Update-Versorgung.
| Datum | Was gilt |
|---|---|
| 11. September 2026 | Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle beginnt |
| +24 Stunden nach Kenntnis | Frühwarnung an ENISA und nationales CSIRT (in Deutschland: BSI) |
| +72 Stunden nach Kenntnis | Erweiterte Meldung mit technischer Bewertung |
| +14 Tage nach Kenntnis | Vollständiger Abschlussbericht |
| 11. Dezember 2027 | Alle CRA-Kernanforderungen müssen vollständig erfüllt sein |
Nuki: „Kein nachträglicher Anstrich“, sondern Produkt-DNA seit der Gründung
Der Grazer Hersteller ist in Deutschland vor allem für seine Nachrüst-Schlösser bekannt, mit denen sich normale Türschlösser ganz ohne Umbau smart steuern lassen, etwa über den Nuki Opener, der inzwischen auch per IFTTT angesteuert werden kann. Nuki begreift den CRA weniger als neue Hürde denn als Bestätigung der eigenen Herangehensweise: Ende-zu-Ende-Verschlüsselung, laufende Bedrohungsanalysen und automatische Sicherheitsupdates gehören seit der ersten Smart-Lock-Generation zum Standard, dazu physische Secure Elements und erweiterter Speicherschutz gegen Manipulation.
„IT-Sicherheit ist für uns kein nachträglicher Anstrich, den man einem Produkt verleiht, wenn eine neue Verordnung kommt, sie ist in unserer Produkt-DNA verankert. Wir sehen den Cyber Resilience Act deshalb als konsequente Fortsetzung unseres bisherigen Kurses“, sagt Jürgen Pansy, Mitgründer und Chief Innovation Officer von Nuki. Ganz ohne Aufwand ist die Umstellung trotzdem nicht: „Niemand schüttelt die Erfüllung der CRA-Anforderungen einfach aus dem Ärmel. Aber dank unserer Vorarbeit ist das für uns kein hektischer Umbau bei laufendem Betrieb, sondern strukturiertes Arbeiten auf einem sehr soliden Fundament.“
Die Meldepflicht ist ein Praxistest für die Sicherheitsorganisation
Dass die neuen Fristen mehr verlangen als eine Unterschrift unter ein Compliance-Dokument, betont Luise Werner, Cybersecurity-Expertin bei der BSI-zertifizierten Prüfstelle secuvera: „Die neuen Meldepflichten sind vor allem ein Praxistest für die Sicherheitsorganisation der Hersteller. Innerhalb kürzester Zeit muss belastbar geklärt werden können, welche Produkte und Versionen betroffen sind, wie schwerwiegend ein Vorfall ist und welche Maßnahmen notwendig sind. Das funktioniert nur, wenn Risikoanalyse, sichere Entwicklung, technische Tests und Schwachstellenmanagement schon vorher ineinandergreifen.“
Wie groß der Unterschied zwischen sauberen Prozessen auf dem Papier und tatsächlicher Sicherheit sein kann, zeigt sich in der Prüfpraxis. „Ein Produkt kann auf dem Papier sicher sein und trotzdem angreifbar. Unabhängige Sicherheitstests schaffen eine wichtige zusätzliche Perspektive“, sagt Eric Clausing, IoT-Lead beim Prüfinstitut AV-TEST. Die meisten in der Praxis gefundenen Schwachstellen entstünden nicht durch Lücken im Konzept, sondern durch Fehler bei der Umsetzung, von der Online-Kommunikation über die App bis zur Hardware. Clausing sieht den verbindlichen Rahmen des CRA deshalb positiv: Er zwinge Hersteller, Sicherheit messbar und nachvollziehbar zu machen, und schaffe damit Vertrauen bei Kunden wie bei Herstellern selbst.
Warum viele Käufer smarten Schlössern noch misstrauen
Dass dieses Vertrauen fehlt, ist Nukis eigentliches Problem, nicht die Technik dahinter. Nach einer aktuellen Kundenbefragung des Unternehmens zählen für 44 Prozent der Befragten Sicherheitsbedenken zu den größten Hürden vor dem Kauf eines elektronischen Türschlosses, obwohl etablierte Geräte wie Nukis eigene Modelle, Konkurrenzprodukte von Yale (etwa das kürzlich vorgestellte Linus Smart Lock L2 Lite) oder Schlösser wie das WE.LOCK SOHO im Test ein hohes Sicherheitsniveau bieten. Eine Studie von Parks Associates im Auftrag der Connectivity Standards Alliance kommt zu einem ähnlichen Ergebnis und nennt Datenschutz- und Sicherheitsbedenken als Bremsklotz für die Verbreitung von Smart-Home-Produkten insgesamt.
„Deshalb begrüßen wir den Cyber Resilience Act ausdrücklich. Gesetzliche Rahmenbedingungen wie der CRA, aber auch verlässliche Branchenstandards wie Matter und Siegel von unabhängigen Testinstituten wie AV-TEST helfen dabei, unbegründete Ängste abzubauen. Sie schaffen das Vertrauen, das wir brauchen, um Smart Locks für die breite Bevölkerung relevant zu machen“, erklärt Martin Pansy, Mitgründer und CEO von Nuki.
Wenn Compliance zur Wettbewerbsfrage wird
So klar Nuki den CRA befürwortet, so deutlich weist das Unternehmen auf die Kostenseite hin. Die EU-Kommission schätzt die direkten Compliance-Kosten auf rund 29 Milliarden Euro, etwa zwei Prozent des europäischen Branchenumsatzes. Das ist laut Martin Pansy nur ein Teil der Rechnung: „Die Pflicht, ein Produkt fünf Jahre und länger mit Sicherheitsupdates zu versorgen, bindet dauerhaft Entwickler-Ressourcen. Dazu kommen Mehrausgaben bei Teileauswahl und Software-Tools.“ Für ein etabliertes Unternehmen wie Nuki ist das machbar, für junge Start-ups dagegen eine echte Markteintrittshürde, die Innovation in Europa bremsen kann.
Daraus leitet Pansy eine klare Forderung ab: eine strikte Marktüberwachung. „Der CRA setzt die richtigen Maßstäbe, doch eine EU-Verordnung ist nur so stark wie ihre Durchsetzung. Strenge Auflagen nützen Verbraucherinnen und Verbrauchern wenig, wenn Produkte ohne nachgewiesene Sicherheitsstandards weiterhin ungehindert auf den europäischen Markt gelangen. Wir brauchen chancengleiche Wettbewerbsbedingungen, die Verantwortung belohnen und nicht das Umgehen von Verordnungen.“
Fazit
Der Cyber Resilience Act macht aus einer bisherigen Ermessensfrage eine gesetzliche Pflicht, und der 11. September 2026 ist dabei nur der Anfang. Bis zum 11. Dezember 2027 müssen Hersteller ihre Prozesse für Entwicklung, Meldung und Update-Versorgung vollständig auf die neuen Vorgaben ausgerichtet haben. Für Anbieter wie Nuki, die seit Jahren in Security-by-Design investieren, ist das eine Bestätigung. Ob der CRA tatsächlich für mehr Sicherheit im Smart Home sorgt oder nur zusätzliche Kosten verursacht, entscheidet sich an einer Stelle, die im Gesetzestext selbst kaum vorkommt: der konsequenten Marktüberwachung.
Quellen: Nuki-Pressemitteilung, Europäische Kommission,
