EU-Meldepflicht für vernetzte Roboter seit 11. September

Der Cyber Resilience Act der EU (Verordnung 2024/2847) ist seit dem 10. Dezember 2024 in Kraft, und am 11. September 2026 ist der erste Teil verbindlich geworden, der Roboterhersteller unmittelbar trifft: die Meldepflicht. Die volle Anwendung mit allen Produktanforderungen folgt am 11. Dezember 2027.

Was seit dem 11. September gilt

Wer ein Produkt mit digitalen Elementen in der EU anbietet, also praktisch jeden vernetzten Roboter, muss nach Artikel 14 der Verordnung:

• eine aktiv ausgenutzte Schwachstelle innert 24 Stunden als Frühwarnung melden,
• innert 72 Stunden die eigentliche Schwachstellenmeldung nachreichen,
• innert 14 Tagen nach der Korrektur einen Abschlussbericht liefern.

Die Meldungen gehen an die EU-Agentur ENISA und das zuständige nationale CSIRT. Eine Einfuhrsperre ist das nicht. Es ist eine Pflicht, an der ein Hersteller scheitern kann, und zwar öffentlich.

Was das für die Schweiz heisst

Die Schweiz ist an den CRA nicht gebunden. Trotzdem betrifft er fast jeden Schweizer Käufer, aus einem einfachen Grund: Die belegten Bezugswege für Humanoide und Roboterhunde liefern zu einem grossen Teil aus der EU (reichelt, RBTX, Génération Robots). Ein Gerät, das ein EU-Händler verkaufen darf, muss ab jetzt von einem Hersteller stammen, der Schwachstellen meldet. Der Schweizer Käufer profitiert davon, ohne dass ein Schweizer Gesetz nötig wäre.

Für den Gebrauchtkauf ist der Punkt konkreter: Die Root-Lücke am Unitree G1 vom August wäre nach dem 11. September in der EU meldepflichtig gewesen. Wer ein Gerät aus zweiter Hand kauft, fragt darum nach dem Firmware-Stand, und zwar vor der Bezahlung. Welche Daten ein Roboter überhaupt nach Hause funkt und wie man das prüft, steht im Ratgeber Was ein Roboter nach Hause funkt.

Wir prüfen ab jetzt wöchentlich, ob ein Hersteller aus dem Katalog wegen einer Meldung oder eines Versäumnisses auffällt. Nach fünf Tagen gibt es keinen solchen Fall; das ist kein Befund, nur der Stand.