Cyber Resilience Act: Industrie unter Zeitdruck

Die deutsche Industrie muss bei der Umsetzung des Cyber Resilience Act (CRA) Tempo machen. Das geht aus dem „IoT & OT Cybersecurity Report 2026“ des Düsseldorfer Cybersicherheitsunternehmens Onekey hervor. Befragt wurden 200 deutsche Industrieunternehmen.

45 Prozent der Firmen sind mit den CRA-Anforderungen kaum oder gar nicht vertraut. Dabei treten am 11. September 2026 erste Verpflichtungen in Kraft. Hersteller, Importeure und Händler vernetzter Geräte, Maschinen und Anlagen müssen dann aktiv ausgenutzte Schwachstellen und damit verbundene schwerwiegende Sicherheitsvorfälle melden.

Cyber Resilience Act gilt auch für Bestandsprodukte

„Das gilt von Ausnahmen abgesehen auch für alle Produkte, die bereits auf dem Markt sind, also nicht etwa nur für neue Entwicklungen, wie häufig fälschlicherweise angenommen wird“, erklärt Onekey-CEO Jan Wendenburg.

CRA-Fristen sind vielen Firmen unbekannt

43 Prozent der Befragten wissen laut Onekey, dass die erste Phase der Pflichten im September beginnt. 60 Prozent kennen dagegen die weiteren Phasen und Fristen nicht. „Tatsächlich gibt es im CRA-Umsetzungszeitplan der EU drei weitere Fristen, bevor am 11. Dezember 2027 der Cyber Resilience Act vollumfänglich in Kraft tritt“, betont Wendenburg.

Unternehmen hinken bei CRA-Umsetzung hinterher

Auch die operative Umsetzung ist lückenhaft. Die Ergebnisse zeigen eine breite Streuung: Ein kleinerer Teil sieht sich bereits sehr gut vorbereitet, viele Unternehmen befinden sich mitten in der Umsetzung, während rund ein Drittel noch kaum begonnen hat.

24-Stunden-Meldepflicht und SBOM werden zur CRA-Hürde

Für 62 Prozent der Unternehmen bereitet die Meldepflicht für Sicherheitsvorfälle binnen 24 Stunden Schwierigkeiten. Auch Software-stücklisten (SBOM) und Vulnerability Management sind zentrale Baustellen. „Ein vollständiger Überblick über alle in den eigenen Produkten eingesetzten Programme stellt eine Grundvoraussetzung für CRA-Compliance dar“, erläutert Wendenburg. „Wer seine Software gar nicht komplett kennt, weiß auch nicht, welche Sicherheitslücken dort bestehen können.“

Security by Design bleibt zentrale Hürde

Zwei Drittel der Befragten sehen zudem Herausforderungen bei „Security by Design/Security by Default“. Cybersicherheit soll damit von Beginn an in die Produktentwicklung integriert werden. 26 Prozent der Unternehmen wollen bereits Ende 2026 CRA-konform sein, acht Prozent sehen sich heute schon soweit. 13 Prozent befürchten dagegen, die Anpassung ihrer Produktpalette bis zum 11. Dezember 2027 nicht vollständig abzuschließen.

KI-Cyberangriffe erhöhen Druck bei CRA-Umsetzung

„Die deutsche Industrie ist in Sachen Cyber Resilience Act auf dem richtigen Weg, aber die Umsetzung sollte deutlich beschleunigt werden“, resümiert Wendenburg. Er verweist zugleich auf automatisierte und KI-gestützte Cyberangriffe: „Die Vorfälle machen klar, dass leistungsfähige KI-Agenten bereits heute selbstständig mehrstufige Angriffsketten ausführen und Schwachstellen ausnutzen können. Unternehmen sollten die Umsetzung des CRA nicht als reine Complianceaufgabe betrachten, sondern als wichtigen Bestandteil ihrer betrieblichen Risikovorsorge.“

CRA Fast Start soll Herstellern den Einstieg erleichtern

Onekey bietet mit CRA Fast Start zudem ein Programm aus CRA Readiness Assessment, Vulnerability Management und kontinuierlichem Monitoring an. „Mit CRA Fast Start ermöglichen wir Herstellern einen systematischen und kurzfristig umsetzbaren Einstieg in die vom Gesetzgeber geforderte CRA-Compliance“, verdeutlicht Wendenburg.

Quelle: Mit Material von Onekey