Unternehmen haben großen Rückstand beim Cyber Resilience Act

Die deutsche Industrie ist auf den Cyber Resilience Act (CRA) der EU nur unzureichend vorbereitet. Das ist ein Kernbefund des „IoT & OT Cybersecurity Report 2026″, für den der Düsseldorfer Cybersicherheitsanbieter ONEKEY 200 deutsche Industrieunternehmen befragt hat. 45 Prozent der Befragten gaben an, mit den Anforderungen der Verordnung kaum oder gar nicht vertraut zu sein — obwohl die ersten Pflichten bereits am 11. September in Kraft treten.

(Bild: PROFESSIONAL SYSTEM (KI-generiert))

Ab diesem Stichtag müssen Hersteller, Importeure und Händler vernetzter Geräte, Maschinen und Anlagen aktiv ausgenutzte Schwachstellen in ihren Produkten sowie damit verbundene schwerwiegende Sicherheitsvorfälle melden. Betroffen sind dem Report zufolge unter anderem vernetzte Maschinen und Steuerungen, Router, Firewalls und Netzwerkgeräte, IoT-Geräte, Betriebssysteme, Apps und weitere Software sowie Cloud-Funktionen, sofern sie für die Funktion des Produkts erforderlich sind.

„Das gilt von Ausnahmen abgesehen auch für alle Produkte, die bereits auf dem Markt sind, also nicht etwa nur für neue Entwicklungen, wie häufig fälschlicherweise angenommen wird”, stellt Jan Wendenburg klar, CEO von ONEKEY.

Auch Betriebe, die sich selbst nur als Anwender verstehen, können demnach unter die Verordnung fallen. Als Beispiel nennt der Report ein Unternehmen, das vernetzte Maschinen für die eigene Produktion direkt aus Asien importiert und anschließend an eine Tochter- oder Schwestergesellschaft weitergibt — es kann im Sinne des CRA als Importeur gelten.

Fristen weitgehend unbekannt

43 Prozent der befragten Unternehmen ist laut Umfrage bewusst, dass die erste Phase der CRA-Pflichten im September beginnt. Den weiteren Zeitplan kennen dagegen nur 32,6 Prozent, während 61,5 Prozent angeben, nicht zu wissen, wann die übrigen Phasen in Kraft treten. „Tatsächlich gibt es im CRA-Umsetzungszeitplan der EU drei weitere Fristen, bevor am 11. Dezember 2027 der Cyber Resilience Act vollumfänglich in Kraft tritt”, erläutert Wendenburg.

Entsprechend uneinheitlich fällt der Umsetzungsstand aus. Als sehr gut vorbereitet bezeichnet sich ein Viertel der Befragten beim Risikomanagement, 22 Prozent bei den Sicherheitsanforderungen, 20 Prozent bei Dokumentation und Sicherheitsupdates über den Produktlebenszyklus sowie 17 Prozent bei internen Prozessen und technischen Nachweisen.

Rund ein Drittel hat nach eigenen Angaben weder interne Prozesse noch Risikomanagement oder das Management von Sicherheitsupdates auf den CRA ausgerichtet.

„Die Ergebnisse zeigen eine breite Streuung. Ein kleinerer Teil sieht sich bereits sehr gut vorbereitet, viele Unternehmen befinden sich mitten in der Umsetzung, während rund ein Drittel noch kaum begonnen hat”, fasst Wendenburg zusammen.

Meldepflicht und SBOM als größte Hürden

Die meisten Schwierigkeiten bereitet ausgerechnet die Meldepflicht für Sicherheitsvorfälle binnen 24 Stunden, die zum 11. September greift. 62 Prozent der Unternehmen nennen sie als Herausforderung, für 30 Prozent stellt sie ein ernsthaftes Problem dar. Jeweils 30 Prozent bewerten die Konformitätsbewertung und die Erstellung von Software-Stücklisten (Software Bill of Materials, SBOM) als besonders problematisch. Mindestens 60 Prozent haben die SBOM-Frage nach eigenen Angaben noch nicht gelöst.

„Ein vollständiger Überblick über alle in den eigenen Produkten eingesetzten Programme stellt eine Grundvoraussetzung für CRA-Compliance dar”, betont Wendenburg. Wer seine Software nicht vollständig kenne, wisse auch nicht, welche Sicherheitslücken dort bestehen könnten.

Auch das Vulnerability Management ist für 62 Prozent der Unternehmen ein ungelöstes Problem. Zwei Drittel bereitet zudem der geforderte Ansatz „Security by Design / Security by Default” Schwierigkeiten, bei dem Cybersicherheit von Beginn an in die Produktentwicklung einfließen und das Produkt mit sicheren Voreinstellungen ausgeliefert werden muss.

Ein Drittel will bis Ende 2027 compliant sein

Ein Drittel der Unternehmen will nach eigener Einschätzung bis zum vollständigen Inkrafttreten am 11. Dezember 2027 die Anforderungen ohne Abstriche erfüllen. 26 Prozent streben dies bereits bis Jahresende an, acht Prozent sehen sich schon heute so weit. 13 Prozent befürchten dagegen, ihre Produktpalette bis zum Stichtag nicht vollständig angepasst zu haben.

„Die deutsche Industrie ist in Sachen Cyber Resilience Act auf dem richtigen Weg, aber die Umsetzung sollte deutlich beschleunigt werden”, resümiert Wendenburg. Das gelte nicht nur wegen der näher rückenden Fristen, sondern auch wegen einer sich verschärfenden Bedrohungslage durch zunehmend automatisierte und KI-gestützte Angriffe.

Künftig dürften nach seiner Einschätzung nicht nur Rechenzentren und klassische IT-Systeme gefährdet sein, sondern verstärkt auch vernetzte Maschinen, Produktionsanlagen und industrielle Steuerungen. Ein erfolgreicher Angriff könne dort neben Datendiebstahl auch Produktionsausfälle, Prozessmanipulationen und im schlimmsten Fall physische Schäden verursachen. Die Umsetzung des CRA sollten Unternehmen deshalb nicht als reine Compliance-Aufgabe verstehen, sondern als Bestandteil ihrer betrieblichen Risikovorsorge.

Der vollständige Report steht auf der Website von Onekey zum Abruf bereit.