Interview mit msg-Vorstand Karsten Redenius CRA macht Cybersecurity zur Voraussetzung für das CE-Zeichen

Der Cyber Resilience Act macht Cybersecurity zur Voraussetzung für die CE-Kennzeichnung. Ohne nachweisbare IT-Sicherheit gibt es keinen EU-Markt­zu­gang mehr. Hersteller müssen daher die Vorgaben zeitnah umsetzen. Der msg-Vorstand Karsten Redenius erklärt im Gespräch, welche fünf Schritte Unternehmen in den nächsten 100 Tagen unbedingt starten sollten.

Der EU Cyber Resilience Act (CRA) verpflichtet Hersteller digitaler Produkte – von IoT-Geräten über Software bis zu industriellen Komponenten – zu verbindlichen Cybersicherheitsstandards über den gesamten Produktlebenszyklus. Für die deutsche Wirtschaft bedeutet das einerseits mehr Schutz: Angesichts jährlicher Schäden von über 200 Milliarden Euro durch Cyberangriffe könnte der CRA Lieferketten absichern und das Sicherheitsniveau spürbar anheben.

Bitkom Wirtschaftsschutz-Studie 2025

Finanzieller Schaden für deutsche Wirtschaft steigt um 22,6 Milliarden

Andererseits stehen gerade mittelständische Unternehmen vor enormen Herausforderungen. Die Umsetzung erfordert Security by Design, umfassende Risikobewertungen, kontinuierliches Schwachstellenmanagement und Meldepflichten – Aufgaben, für die vielen KMU schlicht Personal und Budget fehlen. Verstöße können mit bis zu 15 Millionen Euro oder 2,5 Prozent des Jahresumsatzes bestraft werden. Produkte ohne Compliance-Nachweis droht der Ausschluss vom EU-Markt.

Welche konkreten Handlungsoptionen die deutsche Wirtschaft jetzt hat und wie sich Unternehmen pragmatisch auf den CRA vorbereiten können, erklärt Karsten Redenius, Vorstand der MSG Systems AG, im Interview.

Security-Insider: Herr Redenius, Sie sagen: „Der Cyber Resilience Act ist kein Schutzschild, sondern ein Weckruf.“ Was genau ist die Botschaft dahinter – und wer verschläft sie derzeit am ehesten (Branchen, Unternehmensgrößen)?

Karsten Redenius: Der CRA hat das Ziel, die Cyber-Resilience der europäischen Wirtschaft zu stärken, und kann langfristig das Vertrauen in digitale Produkte erhöhen. Unternehmen, die auf Qualität und Sicherheit setzten, können sich dadurch einen echten Wettbewerbsvorteil sichern. Ein klarer Trend ist derzeit nicht abzusehen, aber unsere Befragungen und die Aussagen des BITKOM zeigen, dass insbesondere kleine und mittelständische Unternehmen mit der Umsetzung der Anforderungen kämpfen und eine praxisgerechte Unterstützung benötigen.

Security-Insider: Was ist die zentrale Neuerung des CRA gegenüber dem Status quo – technisch wie organisatorisch – die Hersteller ab sofort in ihre Produkt und Update Roadmap einbauen müssen?

Karsten Redenius: Der CRA bringt eine EU-weit einheitliche und verbindliche Sicher­heits­re­gu­lie­rung für Produkte mit digitalen Elementen – etwas, das es in dieser Form bislang nicht gab – und zwingt produzierende Unternehmen dazu, einen „Security by Design“- und „Security by Default“- Ansatz umzusetzen. Zusätzlich muss ein Schwachstellenmanagement implementiert, Lifecycle-Sicherheits-Updates bereitgestellt sowie Meldepflichten für aktiv ausgenutzte Schwachstellen eingehalten werden. Ergänzt wird dies durch eine verpflichtende Produkt-Dokumentation mit relevanten CRA-Hinweisen.

Umsetzung von NIS-2, CRA und Co.

Fünf Tipps zur Cybersecurity-Compliance

Security-Insider: Wo zieht der CRA die Produktlinie, wo NIS 2 die Service /Betriebs Linie? Welche Überschneidungen gibt es praktisch für Hersteller, Betreiber und SaaS Anbieter und wie vermeidet man Doppelarbeit?

Karsten Redenius: Der CRA reguliert Produkte mit digitalen Elementen (Hard- und Software) während die NIS 2- Richtlinie auf die Organisationen sowie deren Betriebs- und Sicherheits­prozesse abzielt.

Doppelarbeit lässt sich vermeiden, indem eine Compliance-Matrix erstellt wird, die sowohl die CRA- als auch die NIS 2-Anforderungen systematisch gegenüberstellt und auflistet und gemeinsame Aktivitäten identifiziert, mit denen mehrere Anforderungen erfüllt werden können. Zusätzlich helfen die Zusammenführung von Teams sowie ein einheitliches Schwachstellenmanagement dabei, redundante Prozesse zu vermeiden.

Security-Insider: Welche Produktkategorien trifft es am härtesten (z. B. OS/Hypervisor, Browser, VPN, Netzkomponenten, PAM/PKI, IoT/OT) und was heißt das für die Lieferkette (Zuliefer Software, Open Source Bausteine)?

Karsten Redenius: Der CRA gilt grundsätzlich für alle Produkte mit digitalen Elementen. Dazu zählen Software-Lösungen und Apps ebenso wie IOT-Geräte, Industrie- und OT-Komponenten, Router, Kameras, Smart-Home-Produkte.

Der CRA verlangt, dass Hersteller und Zulieferer eine „Software Bill of Materials“ (SBOM) bereitstellen oder zumindest alle relevanten Komponenten offenlegen. Zulieferer müssen Listen sämtlicher Third-Party-Bibliotheken, Firmware- und Open-Source-Module liefern; Hersteller sind verpflichtet, diese Informationen zu prüfen und auditierbar zu dokumentieren.

Cyber-Resilienz, die Tür zum EU-Markt

Was Hersteller jetzt über CRA und Produktsicherheit wissen müssen

Security-Insider: Was müssen Hersteller nachweisbar etabliert haben, um die CE Kennzeichnung unter CRA zu tragen (u. a. Secure by Design/Default, automatisierte Sicherheits Updates, CVD/PSIRT Prozesse, Software Stückliste (SBOM), definierter Unterstützungszeitraum)?

Karsten Redenius: Der CRA macht Cybersecurity erstmals zu einer vollwertigen Voraussetzung für die CE-Kennzeichung. Das bedeutet: Ohne nachweisbare IT-Sicherheit kein CE-Zeichen und damit keinen Marktzugang in der EU.

Betroffene Produkthersteller müssen künftig unter anderem folgende Punkte erfüllen und implementieren:

• Security by Design

• SBOM (Software Bill of Materials)

• Dokumentation & Tests

• Etablierte Meldeprozesse

• Update-Pflichten

• Kontrolle der Lieferkette

Security-Insider: Welche harmonisierten Normen oder EU Zertifizierungsschemata (EUCC „substantial“) werden für Hersteller am wichtigsten und rechnen Sie mit Lücken?

Karsten Redenius: Das europäische Cybersecurity Certification Framework spielt hier eine zentrale Rolle. Für Hersteller zeichnen sich mehrere Normen als besonders relevant ab:

• ISO 62443 (Security für industrielle Automatiserung)

• ETSI 303 345 (Basis-Sicherheit für Consumer-IoT-Produkte)

• ISO 27001 (ISMS)

• ISO 15408 (Bewertung kryptografischer Komponenten)

• ISO 30111 (Schwachstellen Handling)

• ISO 122027 / 15288 (Software- und System-Lebenszyklusprozesse)

Alles zum Cyber Resilience Act – Teil 1

Warum Produkte cybersicher werden müssen

Security-Insider: Wie organisieren Hersteller die neuen Frühwarn-, 72 Stunden- und Abschlussberichte bei aktiv ausgenutzten Schwachstellen bzw. schweren Sicherheitsvorfällen, inklusive Legacy Produkten, die schon am Markt sind?

Karsten Redenius: Der CRA verpflichtet betroffene Hersteller zu Frühwarnmeldungen innerhalb von 24 Stunden sowie Detailmeldungen innerhalb von 72 Stunden – auch für Produkte, die sich bereits im Markt befinden. Dies erfordert den Aufbau klar definierter Prozesse. Empfehlenswert ist die Etablierung eines „Product Security Incident Response Teams“ (PSIRT), die vollständige Inventarisierung aller Produkte einschließlich Legacy -Bestände, die Durchführung von Risikoanalysen, eine kontinuierliche Schwachstellenüberwachung sowie eine lückenlose Dokumentation.

Security-Insider: Wann braucht es Drittbewertung bzw. notifizierte Stellen statt interner Kontrolle und rechnen Sie 2026/27 mit Kapazitätsengpässen bei Prüfstellen oder harmonisierten Normen?

Karsten Redenius: Für sogenannte Standardprodukte mit vergleichsweise geringem Risiko genügt laut CRA in der Regel die Selbstbewertung durch den Hersteller (Produkte ohne kritische Sicherheitsfunktionen). Bei wichtigen und kritischen Produkten ist hingegen eine Dritt­be­wer­tung durch eine notifizierte Stelle verpflichtend. Mit Kapazitätsengpässen bei Prüfstellen ist aus unserer Sicht ab Ende 2026 zu rechnen, wobei das BSI bereits entsprechende Ressourcen aufbaut.

Alles zum Cyber Resilience Act – Teil 2

Betroffene Produkte und Anforderungen durch den CRA

Security-Insider: Wie real ist die Gefahr von Marktrücknahmen oder „Stop Ship“, und welche Strategien (Risiko und EOL Management, Vermeidung „wesentlicher Änderungen“) empfehlen Sie, um das zu verhindern?

Karsten Redenius: Weist ein Produkt eine schwerwiegende, nicht behobene Sicherheitslücke auf, muss der Hersteller mit einem „Stop Ship“ rechnen und darf das Produkt weder weiter produzieren noch ausliefern. Ein Rückruf ist erforderlich, wenn sich eine Sicherheitsgefahr nicht anders mitigieren lässt. Ein „End-of -Life“ ist im CRA grundsätzlich zulässig, jedoch nur, wenn es klar definiert und transparent kommuniziert wird. Ein Produkt darf nicht einfach auslaufen, solange weiterhin Sicherheitsrisiken bestehen. Nach Erreichen des EOL besteht weiterhin eine Pflicht zur Risiko-Kommunikation, jedoch keine Verpflichtung mehr zur Bereitstellung von Patches nach dem angegebenen Support-Ende.

Security-Insider: Welche Kostenblöcke (Engineering, Compliance, Zertifizierung, Incident Handling) sind zu erwarten – und wie bewerten Sie das Risiko von Geldbußen sowie Haftung, gerade für KMU und Open Source Stewards?

Karsten Redenius: Die Kosten für die Einführung der CRA-Konformität sind individuell zu bewerten und hängen von der Anzahl und Komplexität der Produkte ab. Bei Verletzung der essenziellen Sicherheitsanforderungen können Geldbußen von bis zu 15 Mio. Euro oder bis zu 2,5 Prozent des weltweiten Jahresumsatzes verhängt werden. Weitere mögliche Sanktionen sind Verkaufsverbote, Produktrückrufe sowie der Entzug der CE-Kennzeichnung.

Cyber Resilience Act macht Security ab 2027 zur Zulassungspflicht

So bereiten sich Hersteller jetzt auf den Cyber Resilience Act vor

Security-Insider: Welche 5 konkreten Schritte sollten Unternehmen in den nächsten 100 Tagen starten, um 2026/27 nicht in Zeitnot zu geraten (z. B. PSIRT aufstellen, SBOM Baseline, Update Kanal „secure by default“, Supportzeiträume festlegen, Lieferantenpflichten vertraglich regeln)?

Karsten Redenius: Zunächst sollte eine vollständige Bestandsaufnahme aller Produkte mit digitalen Elementen erfolgen, gefolgt von einer Risikobewertung gemäß den CRA-Risikoklassen. Praxisgerecht ist es dabei, die Produktlebenszyklen sowie die bestehende Kundenbasis zu berücksichtigen.

Weitere zentrale Schritte sind der Aufbau eines strukturierten Schwachstellenmanagements (etwa durch die Einrichtung von PSIRTs –, die Implementierung von SBOMs sowie die Einführung eines „Secure by Design and Default“-Prozesses mit verbindlichen Security-Tests, Security-Standards und zentraler Sicherheitsdokumentation. Ergänzend sind Meldeworkflows (24- Stunden-Erstmeldung, 72 Stunden-Detailmeldung) sowie die Konformitätsbewertung zur CE-Erklärung zu etablieren.

Alles zum Cyber Resilience Act – Teil 3

Verpflichtungen für Hersteller durch den CRA

Security-Insider: Worin sehen Sie den Business Case für den CRA (z. B. schnellere Ausschreibungen, geringere Incident Kosten, Exportvorteil)?

Karsten Redenius: Der Wettbewerbsvorteil für Produkthersteller, die CRA-konform produzieren, liegt zweifelsfrei in geringeren Incindent-Risiken und -Kosten. Zudem ist ein schneller europaweiter Marktzugang gewährleistet, und die Export-Dokumentation wird vereinfacht.

Security-Insider: Herr Redenius, vielen Dank für das Gespräch!

Alles zum Cyber Resilience Act – Teil 4

Konformität und Konsequenzen des CRA

(ID:50782286)