Seit dem 11. September 2026 gelten Meldepflichten des Cyber Resilience Act für Hersteller von Produkten mit digitalen Elementen. Bei einem Unternehmenskauf können damit bereits vor dem allgemeinen Anwendungsbeginn weiterer CRA-Pflichten konkrete Compliance-Risiken bestehen. Das betrifft insbesondere Transaktionen mit Software-, Hardware- und vernetzten Produktunternehmen.
Welche Ereignisse sind meldepflichtig?
Die Meldepflicht erfasst aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines betroffenen Produkts beeinträchtigen. Nicht jeder gewöhnliche Softwarefehler löst automatisch dieselbe Meldung aus. Zunächst sind Produkt, Rolle des Unternehmens, Anwendungsbereich und gesetzlicher Tatbestand zu bestimmen.
Nach Bekanntwerden ist grundsätzlich innerhalb von 24 Stunden eine Frühwarnung und innerhalb von 72 Stunden eine ausführlichere Meldung erforderlich. Für aktiv ausgenutzte Schwachstellen folgt der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme; bei schweren Vorfällen grundsätzlich innerhalb eines Monats nach der 72-Stunden-Meldung.
Die Meldung erfolgt über die gemeinsame Meldeplattform und richtet sich an das zuständige CSIRT; grundsätzlich wird ENISA gleichzeitig einbezogen. Die meisten weiteren CRA-Pflichten gelten ab dem 11. Dezember 2027. Für Open-Source-Software-Stewards bestehen besondere Regeln und Anwendungszeitpunkte.
Was gehört in die Due Diligence?
Für die Transaktionspraxis sollten Käufer zunächst die Produktlandschaft und die jeweilige Herstellerrolle erfassen. Ein Softwarebezug allein beantwortet noch nicht, ob der CRA auf jedes Angebot des Unternehmens anwendbar ist.
Anschließend sind Zuständigkeiten, Erkennung und Bearbeitung von Schwachstellen sowie bisherige Vorfälle zu untersuchen. Aussagekräftig sind dokumentierte Meldeentscheidungen, Zeitpunkte, Abhilfemaßnahmen und der Umgang mit externen Komponenten. Eine allgemeine Aussage „keine Cybervorfälle bekannt“ reicht ohne passenden Prüfungsumfang häufig nicht aus.
Auswirkungen auf Kaufvertrag und Übergabe
Bekannte Schwachstellen können konkrete Abhilfepflichten, Informationsrechte oder eine spezifische Risikoverteilung erfordern. Pauschale Compliance-Garantien ersetzen keine technische Aufklärung. Für bekannte Risiken ist außerdem zu prüfen, ob eine Versicherung überhaupt Deckung bietet.
Zwischen Signing und Closing sollte geregelt sein, wer neue Vorfälle bewertet und den anderen Vertragspartner informiert. Gesetzliche Meldefristen laufen unabhängig davon, ob die Transaktion gerade vorbereitet oder vollzogen wird. Bei der Übergabe dürfen Zugänge, Zuständigkeiten und Kontakte zu zuständigen Stellen nicht verloren gehen.
Amtliche Quellen
- Europäische Kommission: CRA-Meldepflichten, Stand 11. September 2026
- Verordnung (EU) 2024/2847 – Cyber Resilience Act
Weiterführend: Due Diligence und Compliance. Redaktionsstand: 1. November 2026.