Muss ich als Website-Betreiber unter dem CRA etwas melden?

Nein. Die Meldepflichten treffen Hersteller von Produkten mit digitalen Elementen – also die Anbieter von Plugins, Themes und Software, nicht den Betreiber einer Website. Als Betreiber bist du indirekt betroffen: Schwachstellen in deinen Plugins werden schneller bekannt, und Anbieter, die die Pflichten scheuen, könnten sich vom EU-Markt zurückziehen.

Ab wann gilt der Cyber Resilience Act?

Die Verordnung (EU) 2024/2847 ist seit Dezember 2024 in Kraft, ihre Pflichten greifen gestaffelt: Seit dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Die Hauptpflichten – etwa CE-Kennzeichnung und Konformitätsbewertung – folgen ab dem 11. Dezember 2027.

Sind kostenlose Open-Source-Plugins vom CRA betroffen?

Kommt darauf an, wer dahintersteht. Rein nicht-kommerzielle Open-Source-Software ist ausgenommen. Sobald ein Unternehmen ein Plugin pflegt oder es kommerziell verwertet – etwa über eine Pro-Version oder verbundene Dienstleistungen – greifen Herstellerpflichten. Für Organisationen, die Open Source nur betreuen, gibt es das leichtere Regime des „Open-Source-Stewards".

Was passiert mit Plugins, deren Anbieter den CRA ignorieren?

Bei Verstößen drohen Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, dazu Vertriebsverbote. Realistisch ist, dass manche Anbieter ihre Produkte vom EU-Markt nehmen oder aufgeben, statt die Pflichten zu erfüllen. Verwaiste Plugins auf deiner Site werden damit zu einem wachsenden Risiko – regelmäßiges Aussortieren gehört ab jetzt zur Pflege.

Cyber Resilience Act: Was ab September 2026 für WordPress gilt

Seit dieser Woche ist der EU Cyber Resilience Act keine Ankündigung mehr: Ab dem 11. September 2026 müssen Hersteller vernetzter Produkte aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb von 24 Stunden melden. Das klingt nach einem Thema für Software-Konzerne – trifft aber das Ökosystem, auf dem deine WordPress-Site steht: Plugins, Themes, Page-Builder, Shop-Erweiterungen.

Die gute Nachricht vorweg: Als Betreiber einer Unternehmenswebsite hast du unter dem CRA in aller Regel keine eigenen Pflichten. Eine Website ist kein „Produkt mit digitalen Elementen”, das du in Verkehr bringst. Die weniger gute Nachricht: Das Ökosystem unter deiner Site ändert sich – und das solltest du wissen, bevor es dich überrascht.

Eine Einordnung vorab: Wir sind Entwickler, keine Anwälte. Dieser Artikel erklärt, was technisch und praktisch auf WordPress-Sites zukommt – die rechtliche Bewertung deines Einzelfalls gehört zu deinem Anwalt oder Datenschutzbeauftragten.

Was der Cyber Resilience Act ist

Der CRA – formal die Verordnung (EU) 2024/2847 – ist das erste EU-Gesetz, das Cybersicherheit für praktisch alle „Produkte mit digitalen Elementen” verbindlich macht: Software und vernetzte Hardware, die auf dem EU-Markt angeboten werden. Er ist seit Dezember 2024 in Kraft, seine Pflichten greifen gestaffelt:

Seit 11. September 2026: Meldepflichten nach Artikel 14. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden – Frühwarnung innerhalb von 24 Stunden, ausführliche Meldung nach 72 Stunden, Abschlussbericht nach 14 Tagen (Schwachstellen) bzw. einem Monat (Vorfälle). Gemeldet wird an die nationale CSIRT-Behörde und die EU-Cybersicherheitsagentur ENISA. Wichtig: Das gilt auch für Produkte, die schon vorher auf dem Markt waren.
Ab 11. Dezember 2027: die Hauptpflichten – Security by Design, Konformitätsbewertung, CE-Kennzeichnung, Pflicht zu Sicherheitsupdates über den Supportzeitraum.

Verstöße sind teuer: bis zu 15 Millionen Euro Bußgeld oder 2,5 Prozent des weltweiten Jahresumsatzes, dazu drohen Vertriebsverbote und Rückrufe.

Wen der CRA trifft – und wen nicht

Herstellerpflichten treffen, wer Produkte mit digitalen Elementen entwickelt und auf dem EU-Markt anbietet – unabhängig davon, wo das Unternehmen sitzt. Für das WordPress-Ökosystem heißt das:

Betroffen: kommerzielle Plugin- und Theme-Anbieter. Auch ein kostenloses Plugin fällt unter die Pflichten, wenn ein Unternehmen es pflegt oder indirekt damit Geld verdient – die verbreitete Freemium-Logik aus kostenlosem Basis-Plugin und bezahlter Pro-Version ist genau dieser Fall.

Leichteres Regime: Organisationen, die Open-Source-Software dauerhaft betreuen, ohne sie kommerziell zu verwerten, gelten als „Open-Source-Stewards” – mit deutlich reduzierten Pflichten, aber nicht pflichtenfrei.

Ausgenommen: rein nicht-kommerzielle Open-Source-Entwicklung, etwa das Hobby-Plugin eines Einzelentwicklers ohne Geschäftsmodell dahinter.

Nicht direkt betroffen: du als Betreiber. Deine Website ist ein Dienst, kein in Verkehr gebrachtes Produkt. Aufgepasst nur, wenn dein Unternehmen selbst Software vertreibt – dazu unten mehr.

Was sich für deine WordPress-Site konkret ändert

Auch ohne eigene Pflichten verändert der CRA die Rahmenbedingungen, unter denen deine Site läuft – in drei Punkten:

1. Schwachstellen werden schneller öffentlich. Wenn Hersteller aktiv ausgenutzte Lücken binnen 24 Stunden melden müssen, verkürzt sich die Zeit zwischen Entdeckung und öffentlicher Bekanntheit. Das ist gut für die Sicherheit insgesamt – aber es verkürzt auch dein Reaktionsfenster. Eine bekannte Lücke in einem verbreiteten Plugin wird heute im Schnitt binnen Stunden nach Bekanntgabe ausgenutzt. Wer Updates „einmal im Monat, wenn Zeit ist” einspielt, spielt gegen eine Uhr, die schneller geworden ist.

2. Das Plugin-Angebot wird sich bereinigen. Meldeprozesse, Dokumentation und ab 2027 Konformitätsbewertung kosten Anbieter Geld. Nicht jedes Zwei-Personen-Projekt wird das mitgehen – manche Anbieter werden ihre Produkte vom EU-Markt nehmen, andere geben sie ganz auf. Verwaiste Plugins gab es schon immer; der CRA wird ihre Zahl erhöhen. Und ein Plugin ohne Anbieter bekommt keine Sicherheitsupdates mehr.

3. Gepflegte Anbieter werden erkennbarer. Die Kehrseite ist positiv: Anbieter, die den CRA ernst nehmen, dokumentieren ihre Sicherheitsprozesse künftig sichtbarer – Update-Politik, Supportzeitraum, Meldewege. Das macht die Auswahl leichter: „Wer steht eigentlich hinter diesem Plugin?” bekommt eine überprüfbare Antwort.

Was du jetzt tun solltest

Keine Panik-Checkliste, sondern das, was ohnehin gute Praxis ist – mit neuem Gewicht:

Plugin-Inventar machen. Welche Plugins und Themes laufen auf deiner Site, wer steht dahinter, wann kam das letzte Update? Alles, was seit über einem Jahr kein Update gesehen hat oder dessen Anbieter nicht mehr erreichbar ist, gehört auf die Ablöseliste.
Auf tragfähige Anbieter setzen. Bei jeder Neuinstallation: Gibt es ein Unternehmen dahinter, eine dokumentierte Update-Historie, einen Meldeweg für Sicherheitslücken? Das waren schon immer gute Fragen – ab jetzt trennen sie die Anbieter, die bleiben, von denen, die gehen.
Update-Disziplin ernst nehmen. Kürzere Zeit zwischen Bekanntgabe und Ausnutzung heißt: Updates zeitnah und kontrolliert einspielen – kritische Updates über eine Staging-Umgebung, nicht blind automatisch. Wie du Auto-Updates sinnvoll einsetzt, haben wir separat aufgeschrieben.
Die Lücke zwischen Bekanntgabe und Patch schließen. Zwischen „Lücke ist öffentlich” und „Update ist eingespielt” liegt das gefährlichste Zeitfenster. Virtuelles Patching – wie wir es in der WordPress-Wartung mit Patchstack einsetzen – blockiert bekannte Angriffsmuster automatisch, oft bevor der Hersteller überhaupt ein Update veröffentlicht hat. Genau diese Brücke wird durch den CRA wertvoller, nicht überflüssiger.
Für den Ernstfall vorsorgen. Getestete Backups und ein klarer Ablauf, falls die Site doch kompromittiert wird, bleiben das Sicherheitsnetz unter allem.

Sonderfall: Du vertreibst selbst Plugins oder Themes

Wenn dein Unternehmen WordPress-Erweiterungen kommerziell anbietet – auch als kostenloses Plugin mit bezahlter Pro-Version –, bist du unter dem CRA voraussichtlich selbst Hersteller. Dann gelten die Meldepflichten seit dem 11. September 2026 für dich, und bis Ende 2027 kommen die Hauptpflichten dazu. Das ist ein eigenes Thema mit rechtlicher Tragweite: Lass die Einordnung anwaltlich prüfen und fang mit dem an, was ohnehin Pflicht wird – ein dokumentierter Prozess für den Umgang mit Schwachstellenmeldungen.

Ehrliches Fazit

Der CRA verlangt von dir als Site-Betreiber nichts – und ändert trotzdem die Spielregeln, auf denen deine Site steht. Schwachstellen werden schneller öffentlich, das Plugin-Angebot wird sich ausdünnen, und die Frage „wer pflegt das eigentlich?” wird von der Fleißaufgabe zur Grundvoraussetzung. Wer seine Site regelmäßig pflegt oder pflegen lässt, hat dem CRA nichts hinzuzufügen. Wer sie seit Jahren laufen lässt, hat jetzt einen konkreten Anlass, das zu ändern.