Umsetzung des Cyber Resilience Act: Deutsche Industrie hat noch Nachholbedarf

Was geschehen ist – die Kernmeldung ausführlich

Die deutsche Industrie steht vor einer massiven regulatorischen Herausforderung, die durch den Cyber Resilience Act (CRA) der Europäischen Union vorgegeben wird. Wie eine aktuelle Erhebung des Cybersicherheits-Anbieters ONEKEY offenbart, haben viele Unternehmen erhebliche Schwierigkeiten, die kommenden gesetzlichen Anforderungen fristgerecht zu erfüllen. Der CRA, der im Dezember 2027 vollständig in Kraft treten wird, verpflichtet Hersteller von Produkten mit digitalen Elementen dazu, strenge Sicherheitsstandards einzuhalten, Schwachstellen proaktiv zu managen und die Konformität ihrer Erzeugnisse nachzuweisen. Die Umfrage unter 200 deutschen Industrieunternehmen zeichnet ein alarmierendes Bild: Ein beträchtlicher Teil der Firmen fühlt sich unzureichend auf die neuen Pflichten vorbereitet. Während die Zeit bis zum Stichtag unaufhaltsam abläuft, kämpfen zahlreiche Betriebe noch mit den Grundlagen des Risikomanagements und der technischen Dokumentation. Die Ergebnisse verdeutlichen, dass die Branche vor einer komplexen Transformationsaufgabe steht, die weit über bloße IT-Anpassungen hinausgeht und tief in die internen Prozesse sowie die Lieferketten der Unternehmen eingreift. Die Diskrepanz zwischen den regulatorischen Erwartungen der EU und dem aktuellen Umsetzungsstand in der deutschen Wirtschaft ist dabei das zentrale Problem, das nun in den Fokus der Aufmerksamkeit rückt.

Die Einzelheiten – Zahlen, Namen und Fakten

Die von ONEKEY durchgeführte Befragung liefert präzise Daten über den aktuellen Stand der Vorbereitungen. Demnach geben 45 Prozent der befragten Unternehmen an, mit den CRA-Vorgaben kaum oder gar nicht vertraut zu sein. Demgegenüber stehen 46 Prozent, die sich als sachkundig einschätzen, wobei lediglich 21 Prozent von sich behaupten, die Materie sehr gut zu beherrschen. Die Defizite ziehen sich durch verschiedene Bereiche: Rund ein Drittel der Firmen ist weder bei internen Abläufen noch beim Risikomanagement oder dem Management von Sicherheitsupdates ausreichend aufgestellt. Ebenso haben 30 Prozent der Unternehmen die zwingenden Sicherheitsanforderungen oder die Erstellung technischer Nachweise bisher kaum in Angriff genommen. Besonders kritisch wird die Meldepflicht gesehen: 62 Prozent der Befragten identifizieren diese als größte Hürde, wobei 30 Prozent sogar von ernsthaften Problemen sprechen. Auch die Erstellung von Software-Stücklisten, bekannt als Software Bill of Materials (SBOM), bereitet 30 Prozent der Unternehmen Kopfzerbrechen. Ein weiteres Hindernis ist die mangelnde Zuarbeit der Zulieferer: Nur 18 Prozent der Partner liefern laut Umfrage die notwendigen Informationen, obwohl die Hersteller für die Sicherheit der gesamten Komponentenkette haften müssen.

Hintergrund – der Weg zum Cyber Resilience Act

Der Cyber Resilience Act wurde ins Leben gerufen, um die Sicherheit von Produkten mit digitalen Elementen innerhalb des europäischen Binnenmarktes grundlegend zu erhöhen. Er gilt für eine breite Palette an Hardware- und Softwareprodukten, die ab dem 11. Dezember 2027 neu auf den Markt gebracht werden. Das Gesetz verlangt von den Herstellern, bereits in der Entwicklungsphase eine umfassende Risikobewertung durchzuführen. Zudem müssen potenzielle Schwachstellen systematisch adressiert und während des gesamten Produktlebenszyklus durch kontinuierliche Sicherheitsupdates geschlossen werden. Die Konformität mit diesen Vorgaben muss durch entsprechende Dokumentationen und technische Nachweise belegt werden. Von dieser Regelung ausgenommen sind spezifische Sektoren, darunter Medizinprodukte, Fahrzeuge sowie Produkte aus den Bereichen Luft- und Raumfahrt. Auch militärische Güter und nicht kommerzielle Open-Source-Software fallen nicht unter die strengen Anforderungen des CRA. Um die Unternehmen bei der Umsetzung zu unterstützen, hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits Anfang August technische Richtlinien veröffentlicht, die als Leitfäden für die industrielle Praxis dienen sollen. Diese Richtlinien sollen den Firmen helfen, die komplexen Anforderungen in ihre bestehenden Entwicklungsprozesse zu integrieren.

Die Beteiligten – wer ist betroffen und wer entscheidet

Im Zentrum der Untersuchung steht die deutsche Industrie, repräsentiert durch die 200 befragten Unternehmen, die nun vor der Aufgabe stehen, ihre Produktportfolios an die neuen EU-Vorgaben anzupassen. Der Cybersicherheits-Anbieter ONEKEY fungiert hier als Analytiker, der den aktuellen Status quo der Branche evaluiert und auf die bestehenden Lücken hinweist. Auf regulatorischer Ebene ist die Europäische Union die treibende Kraft, die mit dem CRA den rechtlichen Rahmen vorgibt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nimmt eine unterstützende Rolle ein, indem es durch die Herausgabe technischer Richtlinien versucht, den Unternehmen Orientierung bei der praktischen Umsetzung zu bieten. Die Hersteller selbst tragen die Hauptlast der Verantwortung, da sie nicht nur für ihre eigenen Entwicklungen, sondern auch für die Sicherheit der von Zulieferern bezogenen Komponenten haften. Diese Haftungssituation verschärft den Druck auf die Unternehmen, da sie nun gezwungen sind, ihre gesamte Lieferkette auf die Einhaltung der neuen Sicherheitsstandards zu überprüfen. Die Kommunikation zwischen Herstellern und Zulieferern wird somit zu einem entscheidenden Faktor für die erfolgreiche Compliance.

Einordnung – was die Ergebnisse bedeuten

Die Umfrageergebnisse lassen den Schluss zu, dass die deutsche Industrie die Tragweite des Cyber Resilience Act noch immer unterschätzt. Einzuordnen ist das so: Während ein kleiner Teil der Unternehmen – etwa acht Prozent – bereits heute das Gefühl hat, alle Anforderungen zu erfüllen, klafft bei der breiten Masse eine erhebliche Lücke zwischen Anspruch und Wirklichkeit. Den Berichten zufolge ist die Meldepflicht, die bereits ab dem 11. September 2026 greift, ein besonders kritischer Punkt. Innerhalb von nur 24 Stunden müssen Unternehmen eine Frühwarnung bei Sicherheitsvorfällen abgeben, gefolgt von einer detaillierten Benachrichtigung nach 72 Stunden. Dieser enge Zeitrahmen stellt hohe Anforderungen an die internen Notfallpläne und die Reaktionsfähigkeit der IT-Teams. Dass 30 Prozent der Unternehmen die Compliance ihrer aktuellen Produktpalette als problematisch ansehen, deutet darauf hin, dass viele Produkte grundlegend überarbeitet oder in ihrer Architektur angepasst werden müssen, um den CRA-Vorgaben zu entsprechen. Die mangelnde Bereitstellung von Informationen durch Zulieferer verschärft die Situation zusätzlich und könnte zu einem Engpass bei der fristgerechten Zertifizierung führen.

Offene Fragen – was der Quelltext nicht beantwortet

Obwohl die Umfrage von ONEKEY detaillierte Einblicke in die Stimmung und den Vorbereitungsstand der deutschen Industrie gibt, bleiben einige Fragen unbeantwortet. Der Quelltext macht keine expliziten Angaben dazu, welche spezifischen Branchen innerhalb der Industrie am stärksten betroffen sind oder ob es signifikante Unterschiede zwischen kleinen und mittelständischen Unternehmen sowie Großkonzernen gibt. Zudem wird nicht erläutert, welche konkreten technischen Lösungen oder Tools die Unternehmen einsetzen wollen, um die geforderten Software-Stücklisten (SBOMs) effizient zu erstellen. Auch bleibt offen, wie die Unternehmen die Haftungsrisiken gegenüber ihren Zulieferern vertraglich regeln wollen, um sich gegen die mangelnde Informationsweitergabe abzusichern. Es wird zudem nicht geklärt, welche konkreten Sanktionen bei Nichteinhaltung der Meldepflichten drohen oder wie die Überwachung durch die zuständigen Behörden in der Praxis ausgestaltet sein wird. Die Lücke zwischen der theoretischen Notwendigkeit der Sicherheitsupdates und der praktischen Umsetzbarkeit bei langlebigen Industrieprodukten, die oft Jahrzehnte im Einsatz sind, wird ebenfalls nicht weiter thematisiert.

Wie es weitergeht – die kommenden Schritte

Der Zeitplan für die Umsetzung des Cyber Resilience Act ist eng getaktet. Ein entscheidender Zwischenschritt ist der 11. September 2026, an dem die Meldepflicht für Schwachstellen und Sicherheitsvorfälle in Kraft tritt. Ab diesem Zeitpunkt müssen Unternehmen in der Lage sein, innerhalb der vorgegebenen Fristen von 24 beziehungsweise 72 Stunden professionell auf Vorfälle zu reagieren. Der finale Stichtag ist der 11. Dezember 2027, ab dem alle neuen Produkte mit digitalen Elementen die vollständigen Anforderungen des CRA erfüllen müssen. Die Unternehmen haben nun die Aufgabe, ihre internen Prozesse, das Risikomanagement und die Dokumentationspflichten bis zu diesem Datum vollständig zu implementieren. Ein Drittel der befragten Firmen hat sich zum Ziel gesetzt, bis zum Dezember 2027 alle Vorgaben zu erfüllen, während 26 Prozent dies bereits bis Ende des laufenden Jahres anstreben. Angesichts der Tatsache, dass 13 Prozent der Unternehmen offen befürchten, die Anforderungen nicht rechtzeitig umsetzen zu können, bleibt abzuwarten, ob die Industrie die notwendigen Ressourcen und Kapazitäten rechtzeitig bereitstellen kann, um den regulatorischen Anforderungen der EU gerecht zu werden.