--- title: "Cyber Resilience Act (CRA) & die Meldepflicht" url: "https://www.dkd.de/de/blog/der-cyber-resilience-act-ist-da/" description: Der Cyber Resilience Act (CRA) ist seit Oktober 2024 in Kraft. Ab September 2026 gilt bereits die Meldepflicht für aktiv ausgenutzte Schwachstellen. image: "https://www.dkd.de/_assets/processed/7oZyHatYf_cZqh-9qa0bK1mRVcw4d4W-UbNit7Zww0Y/q:85/c:1149.0361485924:646.33283358321:fp:0.5055:0.65592203898051/rt:force/w:1149/h:646/fn:Y3NtX2RrZC1kaWdpdGFsYWdlbnR1ci1jeWJlci1yZXNpbGllbmNlLWFjdF8yMDI2X2JkY2U4YWVlNmQ:t/cb:b1fd525b457876a2dab9e61c492e4837ad89b6f7/bG9jYWw6L2ZpbGVhZG1pbi9CaWxkZXIvQmxvZy9Db250ZW50LzIwMjYvZGtkLWRpZ2l0YWxhZ2VudHVyLWN5YmVyLXJlc2lsaWVuY2UtYWN0XzIwMjYucG5n" date: 2026-04-13 modified: 2026-10-09 --- # Cyber Resilience Act (CRA) & die Meldepflicht Olivier Dobberkau 13.04.2026 Lesezeit: 10 Minuten Der Cyber Resilience Act ist da ================================= ![Grünes Schutzschild auf schwarzem Hintergrund](https://www.dkd.de/_assets/processed/VrZ_-UB-_Ecgxa0YppT0tvF6XzbiV2f_Gk-OZP0Ax-8/q:85/w:592/h:395/fn:Y3NtX2RrZC1kaWdpdGFsYWdlbnR1ci1jeWJlci1yZXNpbGllbmNlLWFjdF8yMDI2X2M0MzM5ZDM1NmM:t/cb:b1fd525b457876a2dab9e61c492e4837ad89b6f7/bG9jYWw6L2ZpbGVhZG1pbi9CaWxkZXIvQmxvZy9Db250ZW50LzIwMjYvZGtkLWRpZ2l0YWxhZ2VudHVyLWN5YmVyLXJlc2lsaWVuY2UtYWN0XzIwMjYucG5n "CRA | Cyber Resilience Act") --- Der Cyber Resilience Act (CRA) ist seit Oktober 2024 in Kraft und betrifft auch digitale Agenturen und Hoster — früher als viele denken. Ab September 2026 gilt bereits die Meldepflicht für aktiv ausgenutzte Schwachstellen. Wer die eigene Leistungspalette jetzt nicht durchleuchtet, riskiert regulatorische Überraschungen. Die entscheidende Frage dabei: Bieten wir hier eine Dienstleistung an — oder bringen wir ein Produkt in Verkehr? Denn individuelle Kundenprojekte und selbst entwickelte, wiederholt vermarktete Software wie Extensions, Starter-Packages oder SaaS-Tools unterliegen grundlegend verschiedenen Pflichten. Dieser Beitrag erklärt, was die Unterscheidung bedeutet, welche Konsequenzen sie für Verträge und Prozesse hat — und warum das TYPO3-Ökosystem dabei strukturell im Vorteil ist. **Zwei Fristen, nicht eine** ---------------------------- Die meisten wissen, dass die vollständige [Anwendung des Cyber Resilience Acts](https://www.dkd.de/de/glossar/was-ist-der-cyber-resiliance-act/#c11616 "Was ist der Cyber Resilience Act?") für Dezember 2027 erwartet wird. Was weniger bekannt ist: Die erste Deadline liegt bereits im September 2026. Ab dann gilt für alle, die digitale Produkte kommerziell anbieten, eine Pflicht zur Meldung aktiv ausgenutzter Schwachstellen. Das sind nicht zwei Jahre Vorlaufzeit — das sind sechs Monate bis zum ersten kritischen Meilenstein. Dienstleistung oder Produkt? Das ist die eigentliche Frage. ----------------------------------------------------------- Für Agenturen ist die wichtigste Unterscheidung im CRA nicht die zwischen groß und klein oder zwischen Open Source und proprietär. Es ist die zwischen dem, was wir *für Kunden* bauen, und dem, was wir *als eigenes Angebot* in den Markt bringen. [Ein individuelles Kundenprojekt](https://www.dkd.de/de/referenzen/#c2280 "dkd-Kundenprojekte mit TYPO3, Storyblok und Shopware im Überblick") — eine maßgeschneiderte Website, ein [konfiguriertes TYPO3-System](https://www.dkd.de/de/typo3-agentur/#c9271 "dkd – Ihre erfahrene TYPO3-Agentur in Frankfurt am Main"), eine auf einen spezifischen Kunden zugeschnittene digitale Plattform — ist eine Dienstleistung. Der Kunde ist Auftraggeber; das Ergebnis geht in seine Infrastruktur ein. Die CRA-Pflichten liegen primär beim Kunden als Betreiber, nicht bei der Agentur als Dienstleister. Das entbindet die Agentur nicht von vertraglicher Sorgfalt, aber es bedeutet: Das individuelle Kundenprojekt ist kein Produkt mit digitalen Elementen im Sinne des CRA. Anders verhält es sich bei allem, was eine Agentur selbst entwickelt und wiederholt in den Markt bringt. Eine TYPO3-Extension, die kommerziell vertrieben wird. Ein Starter-Package oder Theme, das als wiederverwendbares Produkt angeboten wird. Ein SaaS-Tool oder Managed-Service-Angebot, bei dem Software als Teil der Leistung bereitgestellt wird. Hier ist die Agentur Hersteller im Sinne des CRA — mit allen daraus folgenden Pflichten: - Vulnerability Management - Security Updates in definierten Zeiträumen - Dokumentation - Konformitätsnachweise - Meldepflichten Die praktische Frage, die jede Agentur für ihr Portfolio beantworten muss, lautet daher: *Verkaufen wir hier eine Dienstleistung — oder bringen wir ein Produkt in Verkehr?* Was bedeutet der Cyber Resilience Act für die Vertragsgestaltung? ----------------------------------------------------------------- Diese Unterscheidung hat unmittelbare Auswirkungen auf die Art und Weise, wie Agenturen mit Kunden kontrahieren. Wer [Managed Hosting](https://www.dkd.de/de/leistungen/enterprise-websites/hosting/#c3295 "Ein Überblick der dkd-Hosting-Pakete") oder laufende Wartung als Teil eines Servicevertrags anbietet, sollte prüfen, ob dabei Software kommerziell bereitgestellt wird — und wenn ja, welche Pflichten das auslöst. Maintenance-Verträge, SLAs für Security Updates, Dokumentationspflichten: Das alles sind keine netten Extras mehr, sondern potenziell regulatorisch geforderte Bestandteile einer Leistungsbeziehung. Für Kunden gilt spiegelbildlich: Wer digitale Produkte betreibt — insbesondere in Behörden, Krankenhäusern oder Versorgungsunternehmen — wird zunehmend bei Ausschreibungen danach fragen müssen, ob die eingesetzte Software von einem anerkannten Steward betreut wird und ob die beauftragte Agentur CRA-konforme Prozesse nachweisen kann. Welche Rolle spielt die TYPO3 Association bzgl. Cyber Resilience Act? --------------------------------------------------------------------- Für Agenturen im TYPO3-Ökosystem gibt es einen strukturellen Vorteil: Die [TYPO3 Association](https://typo3.org/association "Mehr erfahren über die TYPO3 Association") hat die Steward-Rolle nicht erst erfunden, sondern sie verlangt, weil der Cyber Resilience Act sie verlangt. Sie hat jahrelang gelebt — mit Vulnerability-Disclosure-Prozessen, einer Cybersecurity-Policy und der Bereitschaft, gegenüber [Behörden Verantwortung](https://www.dkd.de/de/leistungen/enterprise-websites/typo3/government-site-builder-11/#c8500 "Die TYPO3-Lösung für Behörden-Websites: Der Government Site Builder 11") zu übernehmen. Das bedeutet: Das Fundament, auf dem Kundenprojekte und eigene Produkte aufgebaut werden, ist regulatorisch anerkannt. Was Agenturen darauf aufbauen müssen, ist ihre eigene Schicht: klarere Produktdefinitionen im eigenen Portfolio, sauberere Vertragsstrukturen gegenüber Kunden, und dokumentierte Prozesse für den Fall, dass eine eigene Extension oder ein eigenes Tool zum Compliance-Thema wird. ### Der CRA zwingt uns, erwachsen zu werden. Das ist gut so. Die Unterscheidung zwischen Projekt und Produkt war in der Agenturwelt lange unscharf — weil es keine Konsequenzen hatte, sie zu ignorieren. Das ändert sich. Wer die eigene Leistungspalette jetzt durchleuchtet und klar benennt, was Dienstleistung und was Produkt ist, schafft nicht nur regulatorische Klarheit. Er schafft auch die Grundlage für fairere Preisgestaltung, belastbarere Verträge und glaubwürdigere Gespräche mit Kunden, die zunehmend nach genau diesen Antworten fragen werden. [Betrifft der CRA Ihr Portfolio? Wir klären das gemeinsam.](https://www.dkd.de/de/kontakt/#c7404 "Betrifft der CRA Ihr Portfolio? Wir klären das gemeinsam.") ### Kommentar schreiben ### Kommentare Keine Kommentare #### Tags - [\#security](https://www.dkd.de/de/blog/tag/security/) - [\#sicherheit](https://www.dkd.de/de/blog/tag/sicherheit/)