News
Cyber Resilience Act: Was der Meldestart für Praxen bedeutet
Ab 11. September gelten erste CRA-Meldepflichten für Hersteller erfasster Produkte. Praxen werden allein durch deren Nutzung nicht selbst meldepflichtig. Relevant ist, wer Sicherheitshinweise erhält und Updates umsetzt.
Dieser Artikel wurde mithilfe generativer KI automatisch aus Fremdquellen zusammengefasst, überarbeitet, ergänzt oder aktualisiert und noch nicht von einem Menschen redaktionell geprüft oder freigegeben. Er kann Fehler enthalten. Mehr zu unserem Umgang mit KI.
Ein Router läuft, die Bürosoftware tut ihren Dienst – bis eine Sicherheitsmeldung kommt und niemand weiß, wer zuständig ist. Ab 11. September 2026 müssen Hersteller erfasster Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden.
Allein aus der Nutzung eines betroffenen Produkts entsteht für Arzt- und Zahnarztpraxen keine eigene CRA-Meldepflicht. Für sie ist dennoch relevant, wer Sicherheitshinweise erhält, wer notwendige Updates bewertet und wer sie umsetzt.
Die ersten Meldefristen für Hersteller
Ab Kenntnis des Herstellers ist binnen 24 Stunden eine Frühwarnung vorgesehen. Binnen 72 Stunden folgt eine vollständige Schwachstellen- beziehungsweise Vorfallmeldung, sofern die erforderlichen Angaben nicht bereits übermittelt wurden.
Damit endet das Verfahren nicht: Bei einer aktiv ausgenutzten Schwachstelle ist spätestens 14 Tage, nachdem eine Korrektur- oder Schutzmaßnahme verfügbar ist, ein Abschlussbericht fällig. Bei einem schwerwiegenden Sicherheitsvorfall ist der Abschlussbericht binnen eines Monats nach der vollständigen Vorfallmeldung fällig.
Für Hersteller greifen diese Meldepflichten damit früher als die meisten übrigen CRA-Pflichten, die ab 11. Dezember 2027 gelten. Der frühere Meldestart ist kein Versprechen, dass eingesetzte Produkte ab September sofort sicherer werden.
Behördenmeldung und Nutzerinformation sind zweierlei
Hersteller übermitteln die einzelnen Meldungen über die zentrale CRA-Meldeplattform. Die jeweilige Meldung ist an das zuständige koordinierende CSIRT gerichtet und grundsätzlich zugleich für ENISA zugänglich.
Davon getrennt müssen Hersteller betroffene Nutzer und, wenn dies angemessen ist, alle Nutzer über die Schwachstelle oder den Vorfall informieren. Wo erforderlich, müssen sie auch Schutz- oder Korrekturmaßnahmen nennen, die Nutzer umsetzen können. Das bedeutet nicht, dass jede Praxis jede Behördenmeldung erhält. Entscheidend sind das konkrete Produkt, die Betroffenheit und die vorgeschriebene Nutzerinformation.
Nicht jedes digitale Produkt fällt unter dieselbe Regel
Medizinprodukte und In-vitro-Diagnostika, die unter die europäische Medizinprodukte- beziehungsweise In-vitro-Diagnostika-Verordnung fallen, sind vom CRA ausgenommen. Gewöhnliche vernetzte IT wie Router, Betriebssysteme oder Bürosoftware kann dagegen in den Anwendungsbereich fallen.
Bei praxisnaher Software lässt sich das nicht pauschal entscheiden. Maßgeblich sind das konkrete Produkt und seine regulatorische Einordnung. Praxen sollten daher weder jedes digitale Gerät zum CRA-Produkt erklären noch Medizinprodukte und sonstige IT in einen Topf werfen.
Was Praxen jetzt klären können
- Produkt, installierte Version und zuständigen Anbieter in einer Bestandsliste erfassen.
- Festlegen, wer Sicherheitshinweise erhält.
- Benennen, wer notwendige Updates technisch bewertet.
- Festlegen, wer freigegebene Updates umsetzt.
- Bei Neuanschaffungen nach Ansprechpartner, Informationsweg und zugesagter Dauer der Sicherheitsupdates fragen.
Das ist keine zusätzliche CRA-Compliance-Liste für Praxen. Es bereitet darauf vor, dass ein Herstellerhinweis nur helfen kann, wenn er die zuständige Person erreicht und die nächsten Schritte feststehen. Der kleinste messbare Anfang: Ergänzen Sie für ein vernetztes Produkt fünf Angaben in Ihrer Bestandsliste – Produkt, Version, Empfänger für Sicherheitshinweise, Verantwortlicher für die Bewertung und Verantwortlicher für die Umsetzung von Updates.