--- adresse: "https://qvestcon.com/dora-update-markus-junge/informationsregister-versicherung_ef6b114e/" titel: "CRA: Hersteller melden Sicherheitslücken…" beschreibung: "Der Cyber Resilience Act (CRA) der EU verpflichtet Hersteller vernetzter Produkte, aktiv ausgenutzte…" sprache: "de-DE" stand: "2026-11-02" --- Qvestcon News # CRA: Hersteller melden Sicher­heits­lü­cken seit 11.09.2026 Der Cyber Resilience Act (CRA) der EU verpflichtet Hersteller vernetzter Produkte, aktiv ausgenutzte Sicher­heits­lü­cken und schwer­wie­gende Sicher­heits­vor­fälle zu melden. Diese Mel­de­pflich­ten gelten seit dem 11. September 2026. Die übrigen Vorgaben gelten ab dem 11. Dezember 2027. Hersteller müssen Schwach­stel­len systematisch behandeln und für einen festgelegten Zeitraum kostenlose Sicher­heits­up­dates bereitstellen. Für Versicherer und Banken sind Hersteller meist Lieferanten, deshalb lässt sich die Umsetzung in drei Schritten angehen. Erstens: Produkte mit digitalen Elementen im IKT-Register (Register der Informations- und Kom­mu­ni­ka­ti­ons­tech­nik) und im Infor­ma­ti­ons­re­gis­ter kennzeichnen. Zweitens: in Verträgen und Bestell­vor­ga­ben den Update-Zeitraum und einen Meldeweg für Schwach­stel­len des Herstellers festschreiben. Drittens: im Infor­ma­ti­ons­si­cher­heits­ma­nage­ment festlegen, wer Her­stel­ler­war­nun­gen entgegennimmt und bewertet. Umgesetzt ist das, wenn das Register je Produkt den zugesagten Update-Zeitraum und einen benannten Ansprech­part­ner zeigt. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank bewährt es sich, diese Angaben schon bei der Beschaffung zu verlangen und nicht erst im laufenden Betrieb nachzuziehen. Zustän­dig­kei­ten und Vorgehen sind Einordnung von Qvestcon. [DORA](https://qvestcon.com/news/dora-ikt/)07.10.2026 Der Cyber Resilience Act (CRA) der EU verpflichtet Hersteller vernetzter Produkte, aktiv ausgenutzte Sicher­heits­lü­cken und schwer­wie­gende Sicher­heits­vor­fälle zu melden. Diese Mel­de­pflich­ten gelten seit dem 11. September 2026. Die übrigen Vorgaben gelten ab dem 11. Dezember 2027. Hersteller müssen Schwach­stel­len systematisch behandeln und für einen festgelegten Zeitraum kostenlose Sicher­heits­up­dates bereitstellen. Für Versicherer und Banken sind Hersteller meist Lieferanten, deshalb lässt sich die Umsetzung in drei Schritten angehen. Erstens: Produkte mit digitalen Elementen im IKT-Register (Register der Informations- und Kom­mu­ni­ka­ti­ons­tech­nik) und im Infor­ma­ti­ons­re­gis­ter kennzeichnen. Zweitens: in Verträgen und Bestell­vor­ga­ben den Update-Zeitraum und einen Meldeweg für Schwach­stel­len des Herstellers festschreiben. Drittens: im Infor­ma­ti­ons­si­cher­heits­ma­nage­ment festlegen, wer Her­stel­ler­war­nun­gen entgegennimmt und bewertet. Umgesetzt ist das, wenn das Register je Produkt den zugesagten Update-Zeitraum und einen benannten Ansprech­part­ner zeigt. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank bewährt es sich, diese Angaben schon bei der Beschaffung zu verlangen und nicht erst im laufenden Betrieb nachzuziehen. Zustän­dig­kei­ten und Vorgehen sind Einordnung von Qvestcon. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/m-p/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/q-s/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/m-p/#markusjunge) - [#CRA](https://qvestcon.com/stichwoerter/c/#cra) - [#IKTRisiko](https://qvestcon.com/stichwoerter/i-j/#iktrisiko) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20CRA%3A%20Hersteller%20melden%20Sicherheitsl%C3%BCcken%20seit%2011.09.2026#erstgespraech) [Weitere Meldungen in DORA](https://qvestcon.com/news/dora-ikt/) · [alle Qvestcon-News](https://qvestcon.com/news/)