So bereiten sich Hersteller auf den Cyber Resilience Act vor

Cyber Resilience Act macht Security ab 2027 zur Zulassungspflicht So bereiten sich Hersteller jetzt auf den Cyber Resilience Act vor

11.02.2026 Ein Gastbeitrag von Dr. Jürgen Krämer 4 min Lesedauer

Anbieter zum Thema

V2_Screen_M.png (SEPPmail - Deutschlang GmbH)

Ab 11. Dezember 2027 verlangt der Cyber Resilience Act von Herstellern vernetzter Produkte Security by Design, verschlüsselte OTA-Updates, vollständige SBOMs und Incident-Meldungen binnen 24 Stunden. Wer jetzt die Updatefähigkeit professionalisiert, seine Lieferketten transparent macht und Incident-Response-Prozesse etabliert, vermeidet Marktausschluss und nutzt Security als Wettbewerbsvorteil.

Der Cyber Resilience Act fordert ab 2027 Security by Design, OTA-Updates, SBOMs und 24-Stunden-Meldungen für vernetzte Produkte.(Bild: © Gorodenkoff - stock.adobe.com) — Der Cyber Resilience Act fordert ab 2027 Security by Design, OTA-Updates, SBOMs und 24-Stunden-Meldungen für vernetzte Produkte.
(Bild: © Gorodenkoff - stock.adobe.com)

Der Cyber Resilience Act (CRA) macht Sicherheit zum Zulassungskriterium für alle „Produkte mit digitalen Elementen“, von Maschinen und Anlagen über Medizintechnik bis zur Gebäudetechnik. Für Hersteller bedeutet das: Security by Design, lückenlose Nachweise, klare Meldefristen und ab 11. Dezember 2027 volle Verbindlichkeit. Wer heute investiert, senkt Risiken und gewinnt Vertrauen im Markt.

In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im ersten Teil erfahren Sie, warum der Cyber Resilience Act für Unternehmen und Kunden wichtig ist. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Was der CRA tatsächlich fordert

Der CRA verankert Sicherheit über den gesamten Produktlebenszyklus. Hersteller müssen standardmäßig sichere Produkte liefern, inklusive starker Authentifizierung, verschlüsselter Kommunikation, Secure Boot und sicherer Default-Konfigurationen. Ergänzend verlangt die Verordnung ein systematisches Schwachstellenmanagement und eine CVD-Richtlinie (Coordinated Vulnerability Disclosure).

Für die Nachweispflicht sind Konformitätsbewertung und CE-Kennzeichnung entscheidend. Während Standardprodukte häufig intern bewertet werden können, benötigen „wichtige“ bzw. „kritische“ Produkte eine Bewertung durch eine benannte Stelle. Zudem muss jeder Hersteller einen Wartungszeitraum definieren, der mindestens fünf Jahre beträgt, sofern die erwartete Lebensdauer nicht kürzer ist.

Zeitplan & Sanktionen: Der CRA ist am 10. Dezember 2024 in Kraft getreten. Ab 11. September 2026 gelten u. a. Meldepflichten für Schwachstellen und Vorfälle; ab 11. Dezember 2027 sind die vollständigen Produktanforderungen bindend. Bei Nichteinhaltung drohen Marktmaßnahmen und Geldstrafen von bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im zweiten Teil erfahren Sie, welche Produkte überhaupt betroffen sind, was die Sicherheitsanforderungen des CRA sind und wie Hersteller mit Schwachstellen umgehen sollten. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Updatefähigkeit wird zum Gatekeeper

Ohne sichere Updatefähigkeit ist CRA-Compliance nicht zu halten. Technisch verlangt der CRA Updates, die verschlüsselt geprüft, von Funktionsupdates getrennt und rollback-fähig sind. Damit lassen sich Sicherheitslücken gezielt schließen, auch in großen, verteilten Flotten. Voraussetzung ist ein belastbarer OTA-Prozess mit Signaturprüfung, Versionstracking und Audit-Trails.

Sicherheitsvorfälle sind nach klaren Fristen an ENISA und das nationale CSIRT zu melden: erste Meldung binnen 24 Stunden, technischer Bericht binnen 72 Stunden, Abschlussbericht binnen 14 Tagen nach Behebung. Ohne gelebten Incident-Response-Prozess inklusive technischer, rechtlicher und kommunikativer Rollen ist das nicht machbar.

Transparente Lieferkette: SBOM als Pflicht und Chance

Die Komplexität moderner Software-Stacks erzwingt Transparenz auf Komponentenebene. Der CRA fordert für jedes Produkt ein vollständiges SBOM und die kontinuierliche Bewertung offengelegter Schwachstellen, einschließlich Open-Source- und Drittanbieter-Code. Das ist Grundlage, um CVEs zu korrelieren, Risiken zu priorisieren und Updates gezielt auszurollen.

In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im dritten Teil erfahren Sie mehr über die Fristen, die Hersteller digitaler Produkte einhalten müssen. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Was heißt das konkret für Maschinenbauer?

Für Hersteller industrieller IoT-Geräte, wie etwa Werkzeugmaschinen, Medizingeräte oder Gebäudeautomation, verschiebt der CRA Verantwortung eindeutig auf die Hersteller. Nicht-konforme Produkte können vom EU-Markt genommen werden; die Prozesse in Entwicklung, Lieferkette und After-Sales müssen Security-tauglich werden. Das trifft besonders Branchen mit langen Lebenszyklen, großen Flotten und Safety-Bezug.

Gleichzeitig ist Security ein Kaufkriterium: Wer sichere, zuverlässige Produkte nachweisbar liefert, stärkt das Vertrauen von Kunden und verschafft sich in sicherheitsbewussten Märkten Vorteile.

Der Cyber Resilience Act verschiebt Cybersicherheit vom „Nice-to-have“ zur Pflichtvoraussetzung für das CE-Zeichen. (Bild: Dall-E / KI-generiert)

Sechs Leitplanken für „Security by Design“

Der Weg zur Compliance führt über klar definierte Entwicklungs- und Betriebsprozesse, die sich in sechs Schwerpunktfelder aufteilen lassen:

1. Dokumentation & Nachweis: Vollständiges Produktinventar, öffentlich zugängliche Dokumente (inkl. sicherer Außerbetriebnahme), sowie Protokolle zu Änderungen, Updates und Maßnahmen.

2. Sichere Entwicklung & Risikobewertung: Bedrohungsmodellierung, sichere Codierung und Signierung, verankert in CI/CD.

3. Produktsicherheit: Secure Boot, verpflichtende sichere Defaults, manipulationssichere Mechanismen, geschützter Factory Reset.

4. Updates & Vulnerability Management: Verschlüsselte, authentifizierte Updates; Trennung von Security- und Funktionsupdates; Rollback-Option.

5. Incident Response & Reporting: Prozesse und Verantwortlichkeiten gemäß 24/72/14-Fristen.

6. Lieferketten-Verantwortung: SBOM-Transparenz, Bewertung von Drittcode, Pflichten für Importeure/Händler und Umgang mit „wesentlichen Modifikationen“.

In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im vierten und letzten Teil erfahren Sie, welche Produktkategorien es gibt, wie Sie deren Konformität sicherstellen und welche Konsequenzen bei Nichteinhaltung drohen. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Fünf Schritte zur schnellen Readiness

7. Portfolio scopen: Welche Produkte fallen unter den CRA, wie reif ist deren Security? Das schafft Basis für Risiko- und Maßnahmenplanung.

8. Gerätemanagement & Updates prüfen: Wie werden Updates erzeugt, verifiziert, verteilt und nachverfolgt? Moderne Plattformen unterstützen automatisierte OTA-Updates, Transparenz zum Status und revisionssichere Protokolle.

9. SBOM operationalisieren: SBOMs erstellen, pflegen und zur Echtzeit-Risikobewertung nutzen.

10. Referenzarchitektur nutzen: Technische Leitfäden und Compliance-Workflows helfen, Soll-Architekturen zu definieren und Lücken strukturiert zu schließen.

11. Gap-Analyse mit Experten: Ausgangslage gegen CRA-Vorgaben spiegeln, Prioritäten setzen, Roadmap ableiten.

Das BSI geht noch einmal genauer darauf ein, was Unternehmen, KMU und Startups bei der Umsetzung des Cyber Resilience Act beachten müssen. (Bild: ipuwadol - stock.adobe.com)

Praxisnutzen: von Compliance zu Differenzierung

Unternehmen, die früh handeln, reduzieren Unsicherheiten und können Zuverlässigkeit und Sicherheit so aktiv vermarkten. Hersteller, die Security konsequent in Produkt und Prozess verankern, steigern ihre Wettbewerbschancen immens.

Damit das gelingt, haben sich in der Praxis folgende Best Practices bewährt: sichere Standardeinstellungen bereits in der frühen Entwicklung, Security-Tests in CI/CD, langfristiger Support mit klaren EoL-Regeln sowie kontinuierliches Risikomonitoring über Bibliotheken, Abhängigkeiten und Flotten.

Fazit

Der CRA verändert, wie vernetzte Produkte entwickelt, betrieben und betreut werden. Für den deutschen Maschinenbau ist das mehr als ein Compliance-Projekt: Es ist eine strategische Weichenstellung hin zu resilienten, vertrauenswürdigen Produkten, mit klaren Fristen, harten Pflichten und messbaren Nachweisen. Wer jetzt OTA-Fähigkeiten, SBOM-Transparenz, Incident-Response und Dokumentation professionalisiert, minimiert regulatorische Risiken und erhöht seine Marktschancen ab 2027. Unternehmen wie Cumulocity unterstützen Kunden aus den unterschiedlichsten Industrien dabei, sich schon heute auf den CRA vorzubereiten und ihre Organisationen für eine cybersichere Zukunft zu stärken.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.

Risiken minimieren, Fertigung sichern – So funktioniert dynamisches Patchmanagement. (Bild: © Sergey Nivens - stock.adobe.com)

Über den Autor: Dr. Jürgen Krämer ist Chief Product Officer und Geschäftsführer bei Cumulocity und verantwortet damit das gesamte Produkt- und Service-Portfolio der Marke. Er leitet die Teams für Produktmanagement und -marketing, Professional Services und das Partner-Ökosystem. Mit über 20 Jahren Erfahrung in der Softwareentwicklung und einem Doktor in Informatik war Jürgen Krämer unter anderem CEO und Mitgründer eines preisgekrönten Spin-offs der Universität Marburg, das 2010 von der Software AG übernommen wurde. Bereits zweimal wurde er vom Magazin Capital zu einem der "Top 40 unter 40" in Deutschland gewählt und ist Mitglied des BITKOM Management Clubs.

(ID:50689301)