In weniger als 4 Wochen greift eine neue IKT-Meldepflicht! Und ja: auch für Finanzunternehmen. 😅

Am 11. September starten die ersten Pflichten des Cyber Resilience Act (CRA).

Am 11. September starten die ersten Pflichten des Cyber Resilience Act (CRA). Zeit also für einen kurzen Faktencheck:

1. Der CRA ist seit Ende 2024 in Kraft und gilt als EU-Verordnung unmittelbar – ohne nationales Umsetzungsgesetz.
2. Sein Ziel: die Cybersicherheit von „Produkten mit digitalen Elementen“.
3. Die neuen Meldepflichten zu Schwachstellen und Sicherheitsvorfällen greifen auch für Produkte, die bereits auf dem Markt sind. Die übrigen Anforderungen (z.B. Risikomanagement) folgen bis Dezember 2027.

❓ Aber was heißt das eigentlich praktisch für Finanzunternehmen? Schließlich melden wir doch längst IKT-bezogene Vorfälle unter DORA.

❓ Und was sollen überhaupt diese Produkte mit digitalen Elementen von Finanzunternehmen sein, für die die neuen Meldepflichten greifen?

❓ Und wohin muss eigentlich gemeldet werden?

Also der Reihe nach…

Die Produkte
Vor etwa 14 Monaten habe ich hier meinen ersten Faktencheck zum CRA geschrieben. Damals war vieles noch intransparent. Es lag lediglich der Konsultationsentwurf einer Durchführungsverordnung zu wichtigen und kritischen Produkten vor, nach dem beispielsweise Zahlungskarten und Zahlungsterminals als kritische Produkte eingestuft werden sollten.

Unsere Verbände haben damals ihr Möglichstes gegeben, um das Ruder herumzureißen und die Doppelregulierung abzuwenden. Der VÖB kritisierte die Überschneidungen mit DORA und NIS2, der Bankenverband fragte öffentlich: „Müssen Banken so reguliert werden wie ein Saugroboter?“

Inzwischen ist klar: Die Einstufung ist geblieben. Aus dem Entwurf wurde die DVO (EU) 2025/2392, vor 3 Wochen ergänzt um die Kommissionsleitlinien C(2026) 5252.

Beide Dokumente sorgen nun für Klarheit und listen beispielsweise folgende Produkte als CRA-relevant:

→ Zahlungskarten und Bezahl-Wearables
→ TAN-Generatoren und TAN-Leser
→ pushTAN-, Authenticator- und Mobile-Banking-Apps

Was wird gemeldet?
Unter DORA melden wir schwerwiegende IKT-bezogene Vorfälle und freiwillig Cyberbedrohungen. Schwachstellen managen wir zwar, melden sie aber nicht an die Aufsicht.

Unter dem CRA sind aktiv ausgenutzte Schwachstellen und produktbezogene Sicherheitsvorfälle zu melden. Die Einstufungskriterien und Meldefristen? Natürlich andere als bei DORA…

Wohin wird gemeldet?
An eine Stelle, die für viele von uns neu ist: über die einheitliche Meldeplattform an das koordinierende CSIRT (bei uns: CERT-Bund des BSI) und die ENISA selbst.

Mein Fazit
Neue Bezugsobjekte, neue Klassifikationen, neue Fristen, neue Empfänger. Für denselben Sicherheitsvorfall können künftig Meldungen an BaFin und CERT-Bund parallel laufen – nach verschiedenen Kriterien und Uhren.

Harmonisierte Meldewege wären echter Bürokratieabbau – aber das dauert wohl noch eine Weile…