Mobile-Menu

Cyber Resilience Act verpflichtet Hersteller zu mehr Sicherheit So bereiten sich Hersteller richtig auf den Cyber Resilience Act vor

Ein Gastbeitrag von Philip Asmuth und Denis Bock 5 min Lesedauer

Anbieter zum Thema

achelos GmbH
FTAPI Software GmbH

Bis Ende 2027 müssen alle Anforderungen des Cyber Resilience Act erfüllt sein – von sicheren Entwicklungsprozessen bis zur Meldepflicht für Schwachstellen. Hersteller sollten nicht abwarten, sondern bestehende Standards nutzen, um frühzeitig compliant zu werden. Wer jetzt handelt, spart Zeit, Kosten und reduziert Risiken.

Der Cyber Resilience Act verpflichtet Hersteller, Sicherheits- und Entwicklungsprozesse zu prüfen und zu dokumentieren. Frühzeitige Vorbereitung reduziert spätere Compliance-Kosten.(Bild: © Maxim - stock.adobe.com)
Der Cyber Resilience Act verpflichtet Hersteller, Sicherheits- und Entwicklungsprozesse zu prüfen und zu dokumentieren. Frühzeitige Vorbereitung reduziert spätere Compliance-Kosten.
(Bild: © Maxim - stock.adobe.com)

Mit dem Cyber Resilience Act (CRA) reagiert die EU auf die zunehmende Bedrohung durch Cyberangriffe und die wachsende Abhängigkeit von digitalen Infrastrukturen. Ziel ist es, das Sicherheitsniveau von Produkten mit digitalen Elementen zu erhöhen und zu vereinheitlichen. Hersteller stehen nun vor der Herausforderung, die regulatorischen Anforderungen umzusetzen – sowohl auf technischer als auch auf organisatorischer Ebene: Spätestens im Dezember 2027 müssen sie erfüllt sein. Doch es gibt gute Nachrichten: Unternehmen können bestehende Best Practices nutzen und müssen das Rad nicht neu erfinden.

Die zunehmende Vernetzung und Digitalisierung unserer Gesellschaft birgt erhebliche Sicherheitsrisiken. Dies wurde durch spektakuläre Cyberattacken der vergangenen Jahre wie WannaCry, NotPetya und die SolarWinds-Attacke schmerzhaft deutlich. Als Reaktion darauf trat am 11. Dezember 2024 der Cyber Resilience Act (CRA) in Kraft. Diese EU-Verordnung verfolgt das Ziel, einheitliche Sicherheitsanforderungen für Produkte mit digitalen Elementen zu etablieren und damit die Resilienz gegenüber Cyberattacken zu erhöhen. Ab dem 11. September 2026 gelten erste verpflichtende Anforderungen wie die Meldung von Schwachstellen und ab dem 11. Dezember 2027, 36 Monate nach dem Inkrafttreten, müssen alle Anforderungen erfüllt sein, damit Hersteller ihre Produkte weiterhin auf dem EU-Markt verkaufen dürfen. Da der Cyber Resilience Act als Verordnung erlassen wurde, entfaltet er – im Gegensatz zu einer Richtlinie – unmittelbare Geltung in allen EU-Mitgliedstaaten, ohne dass es einer nationalen Umsetzung bedarf.

Geltungsbereich und Produktkategorien

Die CRA-Regulierung betrifft Produkte mit digitalen Elementen, das heißt Hard- oder Softwareprodukte, welche digitale Daten verarbeiten und vernetzt werden können. Dies umfasst ein breites Spektrum von Produkten, von Smartphones und Browsern über Steuerungssysteme im industriellen Bereich bis hin zu kritischen Komponenten wie Smartcards und Hardware Security Modulen. Grundsätzlich lässt sich sagen: Alles, was smart ist oder vernetzt werden kann, ist betroffen.

Je nach Risikoklasse – von allgemeinen Produkten über Produkte mit direktem Cybersecurity bezug, bis hin zu hochsensiblen Anwendungen in kritischen Infrastrukturen – variiert die Tiefe des erforderlichen Nachweises der Konformität. Dabei sind insbesondere für kritische Produkte externe Prüfungen durch Dritte erforderlich, während allgemeine Produkte lediglich eine Selbsterklärung benötigen.

Pflichten der Hersteller

Die Pflichten des CRA lassen sich grundsätzlich in zwei Bereiche unterteilen: die Anforderungen an die Produktsicherheit und die Anforderungen an die Herstellerprozesse.

Die Anforderungen an die Produktsicherheit beziehen sich auf die Produkteigenschaften, auf dessen technische Sicherheit und die Kommunikationswege des Produktes. Gefordert wird unter anderem, dass Vertraulichkeit und Integrität der verarbeiteten Daten sichergestellt sein müssen, Schutz vor unbefugtem Zugriff besteht und wesentliche Funktionen auch im Angriffsfall verfügbar sein müssen. Angriffsflächen müssen reduziert, Logging- und Monitoring-Möglichkeiten vorhanden sein und Sicherheitsupdates durchgeführt werden.

Die Anforderungen an Herstellerprozesse betreffen die unternehmensinternen Abläufe. Hersteller müssen unter anderem Prozesse zur koordinierten Behandlung von Schwachstellen einführen, ein Schwachstellenmanagement etablieren und eine Meldepflicht gegenüber Behörden wie der ENISA einhalten. Die Prozesse, mit denen die Anforderungen erfüllt werden, müssen dokumentiert werden, um der Nachweispflicht Genüge zu tun. Das bedeutet, dass der CRA nicht nur formal die Konformität einfordert, sondern funktionierende Sicherheitsprozesse.

Unsicherheit bei der Umsetzung

Eine der zentralen Herausforderungen für Unternehmen liegt in der Umsetzung der regulatorischen Anforderungen, insbesondere weil viele konkrete Standards und Leitlinien derzeit noch fehlen oder erst kurz vor dem endgültigen Inkrafttreten der CRA-Pflichten im Dezember 2027 erwartet werden. Hersteller sehen sich mit der Schwierigkeit konfrontiert, Anforderungen umzusetzen, die teilweise interpretationsbedürftig formuliert sind. So lässt der CRA beispielsweise offen, wie konkret Datenintegrität geschützt oder der Zugriff auf sensible Daten kontrolliert werden soll. Die konkreten Anforderungen, die im CRA anderthalb Seiten umfassen, schaffen keine Klarheit, Behörden verweisen auf harmonisierte Standards und Leitliniendokumente der EU-Kommission, die aber noch nicht veröffentlicht wurden.

Diese Standards werden in drei Kategorien gemäß dem New Legislative Framework eingeteilt: Typ A Standards (horizontale Frameworks) legen die übergreifenden Prinzipien und Begriffe fest, sind aber nicht produktspezifisch. Typ B Standards (horizontale Standards) formulieren produktunabhängige Anforderungen und zielen auf Prozesse ab. Typ C Standards (vertikale Standards) konzentrieren sich auf konkrete Produktfamilien wie Firewalls oder Steuergeräte und sollen eine vollständige Abdeckung der Anforderungen ermöglichen. Mit der Veröffentlichung eines geplanten Typ A Standards wird im August 2026 gerechnet, 14 Typ B Standards sollen zwischen September 2026 und Oktober 2027 veröffentlicht werden, ein Typ C Standard im Oktober 2026.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Auch die Leitliniendokumente sind noch nicht veröffentlicht: Bisher wurde nur ein Veröffentlichungsdatum für ein Leitliniendokument zur Produktklassifikation benannt – der 11. Dezember 2025. Weitere Fragen, die durch diese Dokumente geklärt werden sollen, sind unter anderem welche Pflichten sich aus der Nutzung von Open-Source-Komponenten ergeben, wann ein Produkt als wesentlich verändert gilt oder wie eine Risikobewertung durchgeführt werden kann.

Warten ist keine Option

Dennoch gibt es auch eine gute Nachricht: Unternehmen müssen das Rad nicht neu erfinden. Viele der technischen und organisatorischen Anforderungen des CRA lassen sich durch bereits etablierte Best Practices und vorhandene Sicherheitsstandards wie die IEC 62443 Reihe oder branchenspezifische IoT-Richtlinien erfüllen.

Die proaktive Herangehensweise an den CRA spart Ressourcen und minimiert Risiken: Hersteller, die frühzeitig handeln und vorhandene Sicherheitsprozesse nutzen, vermeiden den immensen Zeitdruck und die hohen Kosten, die bei einer verzögerten Umsetzung zwangsläufig entstehen. Unternehmen sollten daher nicht auf vollständige Klarheit durch alle Leitlinien und Standards warten, sondern bereits jetzt beginnen, die Weichen für eine erfolgreiche Umsetzung zu stellen.

Essenziell ist die frühzeitige Durchführung einer verpflichtenden Risikoanalyse. Diese bildet die Grundlage, um zu bestimmen, welche Assets geschützt werden müssen, welche realistischen Bedrohungen existieren und welche Schwachstellen besonders kritisch sind.

Auf Seiten der Herstellerprozesse lohnt es sich auch jetzt bereits Wert auf CRA-konformität zu legen. Viele Anforderungen etwa zum Schwachstellenmanagement können bereits heute mit den bestehenden Prozessen umgesetzt werden.

Fazit

Zusammenfassend lässt sich sagen, dass der Cyber Resilience Act zwar zunächst wie ein komplexer regulatorischer Dschungel erscheint, sich aber mit praxisorientierter Vorgehensweise gut bewältigen lässt. Durch Nutzung existierender Standards und durch eine frühzeitige, systematische Vorbereitung können Unternehmen nicht nur regulatorische Compliance sicherstellen, sondern auch ihre Resilienz gegenüber den stetig wachsenden Cyberrisiken nachhaltig stärken.

Über die Autoren: Philip Asmuth ist, Team Lead Security Architecture & Evaluation bei achelos.
Denis Bock ist Sales Manager Cybersecurity bei der achelos GmbH.

(ID:50612239)

Weiterführende Inhalte