In gut zwei Wochen, am 11. September 2026, greift die erste Stufe des europäischen Cyber Resilience Act. Ab dann muss eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden gemeldet werden — an die EU-Agentur für Cybersicherheit und an die zuständige nationale Stelle. Für die ausführlichere Meldung bleiben 72 Stunden, für den Abschlussbericht 14 Tage ab dem Moment, in dem eine Korrektur bereitsteht.
Vorweg das Wichtigste: Die meisten Schweizer KMU sind nicht gemeint. Ob Sie dazugehören, klären zwei Fragen.
Die erste Frage: Verkaufen Sie ein Produkt mit digitalen Elementen?
Gemeint sind Produkte, die über ein Netzwerk Daten austauschen — Hardware, Software, vernetzte Geräte, Steuerungen. Wer ein solches Produkt herstellt, einführt oder vertreibt, fällt darunter.
Eine Website zu betreiben ist kein Produkt in diesem Sinn. Eine Dienstleistung anzubieten auch nicht. Wer eine Schreinerei, eine Praxis oder ein Treuhandbüro führt und dafür eine Website hat, ist an dieser Stelle fertig.
Die Ausnahme, die viele übersehen: Reine Cloud-Dienste ohne zugehöriges Produkt fallen nicht unter die Verordnung. Wer also eine Software als Abo im Browser anbietet, ist nicht automatisch betroffen.
Anders sieht es aus, wenn der Cloud-Anteil zum Produkt selbst gehört. Die Verordnung zieht die Grenze dort, wo die Ferndatenverarbeitung vom Hersteller stammt und das Produkt ohne sie eine seiner vorgesehenen Aufgaben nicht erfüllen könnte. Eine vernetzte Heizungssteuerung, die ohne den Herstellerdienst nicht mehr regelt, ist also erfasst — die Buchhaltung im Browser nicht.
Die zweite Frage: Liefern Sie in die EU?
Wie schon bei den KI-Transparenzregeln gilt das Marktortprinzip: Massgebend ist nicht der Firmensitz, sondern der Absatzmarkt. Ein Schweizer Hersteller, der seine Geräte in Deutschland verkauft, fällt darunter. Wer ausschliesslich in der Schweiz liefert, nicht.
Beide Fragen mit Ja beantwortet? Dann geht es Sie an. Zweimal Nein — und Sie können hier aufhören zu lesen.
Was ab September konkret verlangt wird
Die erste Stufe ist keine Produktzulassung, sondern eine Meldepflicht. Drei Dinge müssen vorhanden sein:
Ein Verfahren, um von Schwachstellen zu erfahren. Das klingt banal, ist es aber nicht: Es braucht eine Stelle, an die sich jemand wenden kann, der eine Lücke in Ihrem Produkt findet. Ohne Meldeweg erfahren Sie es zuletzt.
Ein Verfahren, um innerhalb von 24 Stunden zu melden. Diese Frist ist der eigentliche Punkt. Vierundzwanzig Stunden lassen sich nicht improvisieren. Wer erst dann klärt, wer entscheidet, wer meldet und an wen, hat die Frist bereits verpasst.
Eine Übersicht der eigenen Bestandteile. Welche fremden Programmbausteine stecken in Ihrem Produkt? Diese Software-Stückliste wird ab Dezember 2027 verpflichtend, ist aber schon jetzt die Grundlage dafür, überhaupt zu wissen, ob eine gemeldete Lücke einen betrifft.
Ab dem 11. Dezember 2027 folgt die zweite Stufe mit den vollen Anforderungen: Sicherheit als Konstruktionsprinzip, die vollständige Dokumentation und die CE-Kennzeichnung.
Zu den Bussgeldern
In der Verordnung stehen Beträge von fünf bis fünfzehn Millionen Euro beziehungsweise ein bis zweieinhalb Prozent des weltweiten Jahresumsatzes.
Für einen Schweizer Kleinbetrieb ist dieses Szenario nicht das realistische. Wahrscheinlicher ist etwas anderes: Wer die Anforderungen nicht erfüllt, darf in der EU nicht mehr verkaufen. Der Marktausschluss trifft früher und härter als ein Bussgeld.
Was wir empfehlen
Klären Sie zuerst, ob Sie überhaupt betroffen sind. Die zwei Fragen oben genügen für eine erste Einschätzung. Bei einem klaren Nein ist das Thema erledigt.
Wenn ja: Legen Sie den Meldeweg fest, bevor Sie ihn brauchen. Wer entscheidet, dass gemeldet wird? Wer schreibt die Meldung? An welche Stelle geht sie? Diese drei Antworten auf einem Blatt Papier sind mehr wert als jedes Konzept, das erst im Ernstfall entsteht.
Und lassen Sie es fachlich prüfen. Dieser Text ist eine Orientierung, keine Rechtsberatung — wir sind Hoster, keine Juristen. Bei echtem EU-Geschäft mit eigenen Produkten lohnt sich der Blick von jemandem, der das beurteilen kann.
Wie dieselbe Logik bei den KI-Transparenzregeln aussieht, haben wir im August aufgeschrieben. Auch dort war die erste Frage nicht, was zu tun ist, sondern ob es einen überhaupt betrifft.