Der Cyber Resilience Act ist da
Warum jetzt der richtige Zeitpunkt für ISO 27001 ist
Der EU Cyber Resilience Act (CRA) gilt seit 2024 und wird jetzt schlagend für Unternehmen. Obwohl viele Pflichten erst ab Dezember 2027 gelten, müssen Unternehmen ab 11. September 2026 aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die Single Reporting Platform der ENISA melden. Hier erfahren Sie, wie sich Unternehmen jetzt mit der ISO 27001 optimal vorbereiten können.
Der EU Cyber Resilience Act dient dazu, Cybersicherheit über den gesamten Lebenszyklus digitaler Produkte hinweg verbindlich zu verankern. Für Unternehmen bedeutet das weitreichende neue Pflichten: Sie müssen ihre Produkte nach dem Prinzip „Security by Design“ entwickeln, technische Dokumentation und Nachweise führen, Konformitätsbewertungen durchführen sowie Schwachstellen und Sicherheitsvorfälle überwachen, beheben und fristgerecht an die Behörden melden.
Wen betrifft der CRA?
Der CRA gilt für Hersteller, Importeure und Händler von Produkten mit digitalen Elementen – von smarten Geräten über Software bis zu industriellen Systemen. Je nach Risiko werden Produkte in Standard-, wichtige oder kritische Produkte eingeteilt, mit jeweils steigenden Anforderungen.
Die wichtigsten Fristen im Überblick
- Juni 2026: Meldepflichten für Hersteller beginnen
- September 2026: Pflicht zur Meldung ausgenutzter Schwachstellen & schwerer Sicherheitsvorfälle
- Dezember 2027: Vollständige Umsetzung der Vorschriften
Bei Nicht-Einhaltung drohen bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Darunter fallen ein fehlendes Risikomanagement, unterlassene Meldungen und unsichere Entwicklung gleichermaßen.
Viele Unternehmen sind noch nicht bereit: Eine ENISA-Umfrage (Juni 2026) zeigt: 66 % der Unternehmen kennen den CRA, aber nur 13 % verstehen die Anforderungen an die technische Dokumentation gut – bei der Konformitätsbewertung sind es nur 14 %. Compliance entsteht nicht durch eine einmalige rechtliche Prüfung, sondern durch nachweisbar sichere Prozesse über den gesamten Produktlebenszyklus.
Managementsysteme als effiziente Antwort
Ein zertifiziertes Informationssicherheits-Managementsystem nach ISO 27001 liefert genau die Struktur, die der CRA voraussetzt: Ein etabliertes Risikomanagement mit dokumentierten Prozessen und Nachweise zur Erkennung und Meldung von Sicherheitsvorfällen. Es beugt Cyberangriffen vor, etabliert eine Kultur der Informationssicherheit im Unternehmen und erfüllt dementsprechend die Voraussetzungen des CRA. Um auch bei Systemausfällen oder Betriebsunterbrechungen vorbereitet zu sein, ist ein Managementsystem für ISO 22301 für Business Continuity empfehlenswert.
Mit Know-how sicher unterwegs
Aktuell werden viele neue Pflichten für Unternehmen wirksam – um den Überblick zu behalten und Informationssicherheit professionell zu managen, braucht es Wissen. Mit der Ausbildung zum Information Security Manager nach ISO 27001 haben Absolvent*innen das Rüstzeug für relevante Gesetze und Regelungen. Der Lehrgang zum Business Continuity Manager nach ISO 22301 bietet hingegen das notwendige Know-how, um auf Notfälle und Krisensituationen vorbereitet zu sein und reagieren zu können.
Fazit
Die Meldefrist gilt bereits: Wer jetzt in ein zertifiziertes ISMS nach ISO 27001 investiert, schafft die Basis, um die CRA-Anforderungen strukturiert und nachweisbar zu erfüllen.
Ob Weiterbildung oder Zertifizierung: Das Team der CIS Certification unterstützt Sie gerne bei der Vorbereitung auf den Cyber Resilience Act!
Weitere News
