// HEISE ONLINE — LINUX & OPEN SOURCE
Umsetzung des Cyber Resilience Act: Deutsche Industrie hat noch Nachholbedarf
Im Dezember 2027 tritt der Cyber Resilience Act vollständig in Kraft, viele Unternehmen kämpfen noch mit den Vorgaben etwa zu Meldepflichten und SBOMs.
Die deutsche Industrie ringt noch damit, die Vorgaben des Cyber Resilience Acts (CRA) der EU rechtzeitig zu erfüllen. Das geht aus einer Umfrage des Cybersicherheits-Anbieters ONEKEY hervor. Demnach gab mit 45 Prozent ein großer Teil der befragten Firmen an, mit den Anforderungen entweder kaum oder gar nicht vertraut zu sein. Auf der anderen Seite stehen immerhin 46 Prozent der befragten Unternehmen, die sich eigener Einschätzung nach mit den CRA-Vorgaben auskennen, 21 Prozent davon sogar sehr gut.
Rund ein Drittel der Firmen sind laut der ONEKEY-Umfrage bislang weder mit ihren internen Prozessen noch dem Risikomanagement noch dem Management von Sicherheitsupdates vorbereitet. Ebenfalls haben 30 Prozent die von der EU bald zwingend auferlegten Sicherheitsanforderungen kaum in Angriff genommen oder technische Nachweise auf den Weg gebracht.
Als „sehr gut vorbereitet“ bezeichnen sich hingegen ein Viertel beim Risikomanagement, 22 Prozent bei den Sicherheitsanforderungen, 20 Prozent bei der Dokumentation und den gemäß CRA zwingend erforderlichen Sicherheitsupdates über den gesamten Produktlebenszyklus hinweg sowie 17 Prozent bei internen Prozessen und technischen Nachweisen. Diese Themen schon in Angriff genommen, aber nur teilweise umgesetzt, haben immerhin bei technischen Nachweisen 39 Prozent, bei der Dokumentation 37 Prozent, bei internen Abläufen und Sicherheitsupdates 34 Prozent sowie beim Risikomanagement 26 Prozent.
Der CRA gilt in unterschiedlichen Abstufungen für Produkte mit digitalen Elementen, die nach dem 11. Dezember 2027 neu auf den Markt kommen. Hersteller müssen die Risiken ihrer Produkte bewerten, mögliche Schwachstellen adressieren und die Konformität mit dem CRA nachweisen. Während des gesamten Supportzeitraums sind Sicherheitslücken per Update zu schließen. Ausgenommen sind Medizinprodukte, Fahrzeuge, Luft- und Raumfahrtprodukte sowie militärische Güter und nicht kommerzielle Open-Source-Software. Das BSI hat Anfang August Technische Richtlinien als Leitfäden für Unternehmen herausgegeben.
Bereits ab dem 11. September 2026 gilt eine Meldepflicht für Schwachstellen und Sicherheitsvorfälle. Innerhalb von 24 Stunden muss eine Frühwarnung erfolgen, 72 Stunden nach Bekanntwerden ist eine detaillierte Benachrichtigung erforderlich. Genau diese Meldepflicht gaben mit rund 62 Prozent die meisten Unternehmen als Schwierigkeit bei der Einführung an (Mehrfachnennungen möglich), 30 Prozent bereitet sie sogar ernsthafte Kopfschmerzen. 30 Prozent sehen die Frage als problematisch, ob die eigene Produktpalette Compliance zum Cyber Resilience Act aufweist oder noch Nachholbedarf besteht. Ebenfalls 30 Prozent sehen die Erstellung von Software-Stücklisten (Software Bill of Materials, SBOM) als Hürde. Ein weiteres Problem: Nur 18 Prozent der Zulieferer liefern laut Umfrage die notwendigen CRA-Informationen – obwohl Hersteller auch für zugelieferte Komponenten haften.
Dennoch will ein Drittel der Unternehmen bis zum Stichtag im Dezember 2027 alle Vorgaben erfüllt haben. Mehr als ein Viertel (26 Prozent) strebt dies sogar schon Ende dieses Jahres an, acht Prozent sind nach eigener Einschätzung bereits heute soweit. 13 Prozent der Unternehmen befürchten, es nicht zu schaffen. Befragt wurden nach Angaben von ONEKEY 200 deutsche Industrieunternehmen.
Alle Themen der kommenden iX im Überblick. Erscheint monatlich.
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.