Quellen-Tabelle

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig an das national zuständige CSIRT und an die ENISA melden. Für die Frühwarnung bleiben 24 Stunden, für die vollständige Meldung 72 Stunden, für den Abschlussbericht 14 Tage.

Wichtig für den Masterplan-Punkt "Meldepflichten sind ein zweischneidiges Schwert": Hersteller müssen Sicherheitslücken jetzt sehr schnell an eine zentrale Behördenstelle melden. Das hilft, Lücken schneller zu schließen — schafft aber auch eine zentrale Datenbank aktueller Schwachstellen, die selbst ein attraktives Ziel für Angreifer sein könnte.

Die einheitliche Meldeplattform der ENISA befindet sich noch im Aufbau; ENISA übernimmt die Weiterleitung der Meldungen an die national zuständigen CSIRTs und informiert das CSIRT-Netzwerk, um Doppelmeldungen zu vermeiden.

Konkret entsteht hier eine einzige, zentrale EU-Datenbank für gemeldete Sicherheitslücken bei Millionen vernetzter Geräte — das ist die Infrastruktur, die im Masterplan-Kapitel "Honeypot-Risiko" thematisiert werden sollte, sobald die Plattform live ist.

Bei Verstößen gegen grundlegende Anforderungen oder Meldepflichten können Bußgelder bis zur Höhe von 2,5 Prozent des weltweiten Jahresumsatzes verhängt werden; als deutsche Umsetzung liegt seit dem 1. Mai 2026 ein Regierungsentwurf zum "Gesetz zur Durchführung der Verordnung (EU) 2024/2847" vor.

Auch wenn der CRA als EU-Verordnung direkt gilt, braucht es trotzdem noch ein deutsches Begleitgesetz (z. B. für Zuständigkeiten und Bußgeldhöhen) — das ist gerade erst im Entwurfsstadium.

Im Berichtszeitraum wurden durchschnittlich täglich 119 neue Schwachstellen in IT-Systemen bekannt — ein Wachstum von rund 24 Prozent gegenüber dem Vorjahr. Insbesondere unzureichend geschützte Angriffsflächen machen Deutschland im digitalen Raum verwundbar.

Das ist der offizielle deutsche Jahresbericht zur IT-Sicherheitslage — direkt von der zuständigen Bundesbehörde. Wichtig für den Masterplan-Punkt "zentrale Datenspeicher sind Honeypots": Fast täglich zwei neue Sicherheitslücken, Tendenz stark steigend. Genau das Risiko, das entsteht, wenn immer mehr Daten (Vorratsdaten, Vermögensregister, Wallet-Daten) zentral gespeichert werden.

950 angezeigte Ransomware-Fälle im Berichtszeitraum, davon 72 Prozent mit zusätzlichem Datenleak; laut Bitkom-Wirtschaftsschutzstudie 2025 wurden 87 Prozent aller deutschen Unternehmen in den letzten zwölf Monaten Opfer eines Angriffs, Gesamtschaden 289,2 Milliarden Euro.

Konkrete Größenordnung: Fast 9 von 10 deutschen Unternehmen wurden binnen eines Jahres angegriffen — und bei drei von vier Ransomware-Fällen wurden zusätzlich Daten gestohlen und veröffentlicht. Das untermauert sehr konkret, warum "zentral gespeicherte Daten = Risiko" keine abstrakte Behauptung ist.

Stand März 2026 ist keine einzige CRA-spezifische benannte Stelle (notified body) notifiziert; nur rund 32% der deutschen Industrieunternehmen sind mit den CRA-Anforderungen vertraut, fast 40% haben bislang keine Vorbereitungen getroffen.

Strukturelles Problem, nicht nur mangelndes Unternehmensbewusstsein: Selbst die Behördeninfrastruktur (Prüfstellen, die Konformität offiziell bestätigen können) war zum Erfassungszeitpunkt noch gar nicht vollständig aufgebaut. Das zeigt, dass die Lücke nicht nur bei den Unternehmen liegt.