Nachgefasst (1): Sechs Wochen bis zur Meldepflicht. Und die Normen fehlen weiterhin

Auftakt der Sommerreihe. Ich nehme ältere Beiträge aus diesem Blog, prüfe die damalige These und liefere den heutigen Stand.

Ursprungsbeitrag: „Cyber Resilience Act: Warum Ihr Hybrid-Wechselrichter ab 2027 ein CE-Problem haben könnte“, 10. Februar 2026. Ergänzend: „Secure Boot auf dem NXP i.MX8M Mini“, 21. April 2026.

Die These von damals

Im Februar stand hier: Am 11. September 2026 wird es ernst, ab Dezember 2027 darf nur noch CRA-konform in Verkehr gebracht werden, und ein vernetzter Hybrid-Wechselrichter fällt eindeutig darunter.

Die These stimmt. Sie war nur zu freundlich formuliert. Der Termin ist jetzt sechs Wochen entfernt, und die Lage rundherum hat sich nicht so entwickelt, wie man es im Februar noch annehmen konnte.

Was ab dem 11. September gilt

Meldepflichtig sind aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Die Kette ist dreistufig: Frühwarnung binnen 24 Stunden, Vollmeldung binnen 72 Stunden, danach ein Abschlussbericht.

Übermittelt wird über die CRA Single Reporting Platform, die die ENISA als zentralen Eingangspunkt aufbaut. Der Hersteller meldet einmal, die Plattform verteilt an das koordinierende CSIRT und parallel an die ENISA. Für Hersteller mit Sitz in Deutschland läuft die Frühwarnung an ENISA und CERT-Bund.

Der Bußgeldrahmen liegt bei bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Der Punkt, der in unserer Branche regelmäßig untergeht: Die Meldepflicht erfasst Produkte, die bereits im Markt sind. Ein Wechselrichter aus dem Baujahr 2023 ist kein Bestandsschutzfall. Wer geliefert hat, ist ab September in der Pflicht.

Was sich seit Februar verändert hat

Die Kommission hat einen Leitfaden nachgelegt. Am 27. Juli 2026, also vor zwei Tagen, wurde ein Dokument mit 67 Praxisbeispielen zur Produkteinordnung veröffentlicht. Das hilft bei der Frage, ob ein Gerät in den Anwendungsbereich fällt. Bei der Frage, wie man Konformität nachweist, hilft es nicht.

Denn dort steht die Sache still. Der Normungsauftrag M/606 ging am 3. Februar 2025 an CEN, CENELEC und ETSI, insgesamt 41 Normen, aufgeteilt in horizontale und vertikale. Stand Mitte Juli 2026 ist keine einzige davon im Amtsblatt der EU zitiert. Damit steht die Konformitätsvermutung nach Artikel 27 für keine Produktkategorie zur Verfügung. Die Kommission hat einen Änderungsentwurf zum Normungsauftrag in Konsultation gegeben, der einen Teil der Liefertermine von Ende August auf Ende Oktober 2026 verschiebt. Ob dieser Termin hält, bezweifeln Branchenvertreter offen.

Auch der Ausweichweg ist zu. Die Mechanik, mit der Mitgliedstaaten notifizierte Stellen an die Kommission melden, gilt erst seit dem 11. Juni 2026. Anfang Juli wies das EU-Register NANDO noch keine CRA-designierten Stellen aus.

Für Hersteller wichtiger Produkte der Klasse I ergibt das eine bemerkenswerte Situation. Die Selbstbewertung setzt eine harmonisierte Norm voraus, die es nicht gibt. Der Weg über eine notifizierte Stelle setzt eine Stelle voraus, die es noch nicht gibt. Beide Türen sind derzeit geschlossen.

Die Branche ist schlechter vorbereitet, als sie sich einschätzt. Eine ENISA-Erhebung aus dem Juni 2026 kommt auf rund zwei Drittel der Unternehmen, die die Anforderungen kennen. Bei der Frage, ob die geforderte technische Dokumentation verstanden ist, bleiben etwa 13 Prozent übrig. Bei der Konformitätsbewertung etwa 14 Prozent.

Der entscheidende Zusammenhang

Die Meldepflicht ab September hängt nicht an den Normen. Sie greift unabhängig davon, ob eine harmonisierte Norm existiert, ob eine notifizierte Stelle verfügbar ist und ob je eine Konformitätsbewertung stattfinden wird.

Wer also auf die Normen wartet, wartet auf etwas, das für den Septembertermin ohne Bedeutung ist.

Woher soll die Kenntnis kommen?

Die 24-Stunden-Uhr startet mit der Kenntnisnahme. Genau hier liegt für Gerätehersteller das eigentliche Problem, und es ist technischer Natur.

Ein Wechselrichter hängt in einem fremden Hausanschlussraum. Der Betreiber hat die Cloud-Anbindung möglicherweise bewusst abgeschaltet. Ohne Rückkanal, ohne integritätsgeschützte Protokollierung und ohne eine Vorstellung davon, wie anomales Verhalten im Feld aussieht, erfährt der Hersteller von einer ausgenutzten Lücke aus der Presse. Dann ist die Frist längst abgelaufen.

Daraus folgen vier Anforderungen, die im Gerät verankert sein müssen und nicht im Prozesshandbuch:

1. Protokollierung mit Integritätsschutz. Ein Log, das folgenlos manipuliert werden kann, ist im Meldefall wertlos.
2. Ein Rückkanal, der auch ohne Cloud trägt. Mindestens ein lokal auslesbarer, signierter Statusbericht.
3. Eine SBOM je Firmware-Stand, erzeugt aus dem Build. Wird morgen eine Lücke in einer Bibliothek bekannt, muss binnen Stunden feststehen, welche Seriennummern betroffen sind. Wer die Stückliste nachträglich zusammenschreibt, hat sie nach dem ersten Update wieder verloren. Bei einem Embedded-Linux-System heißt das: die SBOM fällt aus dem Yocto-Build und wird mitversioniert.
4. Ein Update-Pfad, der die Abschlussfrist trägt. Der Abschlussbericht hängt an der Verfügbarkeit der Korrekturmaßnahme. Wer sechs Wochen für einen Patch braucht, meldet entsprechend spät.

Dazu kommt der organisatorische Teil, den man nicht kaufen kann. Es braucht eine benannte Person mit Vollmacht, einen definierten Eskalationspfad, eine öffentliche Adresse für Schwachstellenmeldungen und vorbereitete Meldetexte. Unter Zeitdruck formuliert niemand eine saubere Erstmeldung.

Unsere Bilanz

Wir haben den Gen3 unter der Annahme entwickelt, dass Cybersecurity zur Marktzugangsbedingung wird und nicht zum Verkaufsargument. Das war 2021 eine These, jetzt ist es ein Datum.

Der ehrliche Teil: Der Septembertermin ist handhabbar, weil Secure Boot, signierte Updates und Schlüsselverwaltung Architekturentscheidungen waren und keine Nachrüstung. Der unbequeme Teil: Ohne zitierte harmonisierte Norm bleibt die Konformitätsbewertung bis Dezember 2027 Auslegungsarbeit. Für uns wie für alle anderen.

Wer bis September nichts aufbaut, verliert nichts am 11. September. Sondern an dem Tag, an dem im eigenen Feldbestand die erste Schwachstelle aktiv ausgenutzt wird. Diesen Tag sucht man sich nicht aus.