EU regulation
ENISA bewertet die EU-Cyberresilienz mit 71,53, während die CRA-Frist näher rückt
Der am 10. November 2026 veröffentlichte ENISA-Bericht State of Cybersecurity in the Union gibt der EU 71,53 von 100 Punkten, die Produktpflichten des Cyber Resilience Act greifen am 11. Dezember 2027.
Das Wichtigste
- ENISA veröffentlichte den Bericht nach Artikel 18 NIS2 am 10. November 2026 mit einem Durchschnitt von 71,53 von 100 im EU Cybersecurity Index.
- Die Teilwerte sind ungleich: Lieferkettenmanagement 89,91, Umsetzung von Vorgaben 66,72, Zertifizierungsstrukturen 55,56 und Reife der nationalen Vorfallreaktion 54,76.
- Die Meldepflichten des Cyber Resilience Act gelten seit dem 11. September 2026, dem Tag, an dem ENISA die zentrale Meldeplattform öffnete.
- Die Hauptpflichten für Produkte gelten ab dem 11. Dezember 2027 und werden über die CE-Kennzeichnung nachgewiesen.
Auf dieser Seite
Was hat ENISA am 10. November 2026 berichtet?
ENISA hat am 10. November 2026 den Bericht State of Cybersecurity in the Union veröffentlicht und bewertet die Union im eigenen EU Cybersecurity Index mit 71,53 von 100 Punkten. Der Bericht ist keine freiwillige Übung, sondern die alle zwei Jahre fällige Bewertung, die Artikel 18 der NIS2-Richtlinie verlangt. Hinter dem Durchschnitt stehen ungleiche Teilwerte. Lieferkettenmanagement erreicht 89,91 und Forschung und Entwicklung 79,24, während die Umsetzung von Vorgaben bei 66,72 liegt, Zertifizierungsstrukturen bei 55,56 und die Reife der nationalen Reaktionsteams für Computersicherheitsvorfälle bei nur 54,76. Cybersicherheit in Grund- und Sekundarschulen kommt auf 55,44, in der Hochschulbildung auf 73,59.
Exekutivdirektor Juhan Lepassaar erklärte, der Bericht "reflects on the EU's collective effort and determination to become more resilient", verwies aber darauf, dass "challenges persist and recent developments not only in frontier AI models but also cyber incidents" Lücken offenlegten. Der Bericht hält fest, dass das Bedrohungsniveau in der EU erheblich bleibt, und verfolgt die Umsetzung von NIS2, dem Cyber Resilience Act, dem Cyber Solidarity Act, dem geplanten Cybersecurity Act 2 und dem EU-Aktionsplan zu Cybersicherheit und KI.
Welche Frist setzt der Cyber Resilience Act für Softwareanbieter?
Den 11. Dezember 2027. Nach Angaben der Kommission trat der Cyber Resilience Act am 10. Dezember 2024 in Kraft, die Meldepflichten gelten seit dem 11. September 2026, die Hauptpflichten ab dem 11. Dezember 2027. Erfasst sind vernetzbare Hardware und Software über die gesamte Wertschöpfungskette, Hersteller müssen Schwachstellen über den Lebenszyklus eines Produkts behandeln, nachgewiesen wird das über die CE-Kennzeichnung. Für freie und offene Software nennt die Kommission wegen ihrer Rolle im Ökosystem einen gesonderten Ansatz.
Wöchentlich, Donnerstagvormittag, mitteleuropäische Zeit.
Das Thinking-Briefing
Eine E-Mail pro Woche: was sich bei europäischer Unternehmenssoftware geändert hat, welche Preise sich bewegt haben und welchen Vergleich wir veröffentlicht haben. Keine Werbepost.
Welche Pflichten gelten schon jetzt?
Die Meldepflichten. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle melden, am selben Tag startete ENISA die zentrale Meldeplattform zum CRA. ENISA weist darauf hin, dass Verwalter offener Software erst ab dem 11. Dezember 2027 unter die Meldepflicht fallen. Der Teil der Verordnung, der im Ernstfall greift, ist also längst aktiv, mehr als ein Jahr vor den Produktanforderungen.
Was das für kleine und mittlere Betriebe in Europa bedeutet
Wer Software oder Hardware mit Software darin in die EU verkauft, hat im Dezember 2027 eine Produktfrist und keine Papierfrist: Sie verändert, was über den eigenen Entwicklungsprozess, den Umgang mit Schwachstellen und den Supportzeitraum belegbar sein muss. Zwei Jahre reichen nur, wenn die Arbeit in einen Budgetzyklus einzieht, der Posten gehört also jetzt in die Planung für 2027. Wer Software einkauft, fragt in diesem Quartal am besten neue Lieferanten, wie sie den CRA erfüllen wollen und ob sie seit September 2026 melden, denn ein Anbieter ohne Antwort darauf sagt etwas über seine Entwicklungsarbeit. Der Indexwert, der kleinere Einkäufer beunruhigen sollte, ist die Reife der Vorfallreaktion mit 54,76: Das staatliche Sicherheitsnetz ist schwächer als der Durchschnitt vermuten lässt, umso schwerer wiegt der eigene Plan für Sicherung und Wiederherstellung. Anbieter, die ihre Konformität für Einkäufer dokumentieren, können ihr Produkt über /de/get-listed eintragen, und Betriebe, die die im Ernstfall tragenden Finanzsysteme prüfen, beginnen mit /de/best/best-accounting-software-luxembourg-2026.
Fragen und Antworten
Gilt der Cyber Resilience Act auch für kleine Softwareanbieter?
Was ist der EU Cybersecurity Index?
Quellen
- [1] ENISA reveals the state of cybersecurity in the Union abgerufen 2026-11-11
- [2] European Commission: Cyber Resilience Act abgerufen 2026-11-11
- [3] ENISA: The CRA Single Reporting Platform is launched abgerufen 2026-11-11
