Der Cyber Resilience Act ist da

Der EU Cyber Resilience Act dient dazu, Cybersicherheit über den gesamten Lebenszyklus digitaler Produkte hinweg verbindlich zu verankern. Für Hersteller bedeutet das weitreichende neue Pflichten: Sie müssen ihre Produkte nach dem Prinzip „Security by Design“ entwickeln, technische Dokumentation und Nachweise führen, Konformitätsbewertungen durchführen sowie Schwachstellen und Sicherheitsvorfälle überwachen, beheben und fristgerecht an die Behörden melden.

Der CRA gilt für Hersteller, Importeure und Händler von Produkten mit digitalen Elementen – von smarten Geräten über Software bis zu industriellen Systemen. Je nach Risiko werden Produkte in Standard-, wichtige oder kritische Produkte eingeteilt, mit jeweils steigenden Anforderungen.

Die wichtigsten Fristen im Überblick

• 11. Juni 2026: Regeln für Konformitätsbewertungsstellen gelten
• 11. September 2026: Pflicht zur Meldung ausgenutzter Schwachstellen & schwerer Sicherheitsvorfälle
• 11. Dezember 2027: Vollständige Umsetzung der Vorschriften

Bei Nicht-Einhaltung drohen bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Darunter fallen ein fehlendes Risikomanagement, unterlassene Meldungen und unsichere Entwicklung gleichermaßen.

Viele Unternehmen sind noch nicht bereit: Eine ENISA-Umfrage (Juni 2026) zeigt: 66 % der kleinen bis mittleren Unternehmen (KMU) kennen den CRA, aber nur 13 % verstehen die Anforderungen an die technische Dokumentation gut – bei der Konformitätsbewertung sind es nur 14 %. Compliance entsteht nicht durch eine einmalige rechtliche Prüfung, sondern durch nachweisbar sichere Prozesse über den gesamten Produktlebenszyklus.

Ein zertifiziertes Informationssicherheits-Managementsystem nach ISO 27001 liefert eine solide Basis zur Erfüllung des CRA: Ein etabliertes Risikomanagement mit dokumentierten Prozessen und Nachweise zur Erkennung, Behandlung und Meldung von Sicherheitsvorfällen. Es senkt das Risiko für Cyberangriffe und etabliert eine Kultur der Informationssicherheit im Unternehmen. Um auch bei Systemausfällen oder Betriebsunterbrechungen handlungsfähig zu bleiben, empfiehlt sich zusätzlich ein Managementsystem für Business Continuity nach ISO 22301.

Aktuell werden viele neue Pflichten für Unternehmen wirksam – um den Überblick zu behalten und Informationssicherheit professionell zu managen, braucht es Wissen. Mit der Ausbildung zum Information Security Manager nach ISO 27001 haben Absolvent*innen das Rüstzeug für relevante Gesetze und Regelungen. Der Lehrgang zum Business Continuity Manager nach ISO 22301 bietet hingegen das notwendige Know-how, um auf Notfälle und Krisensituationen vorbereitet zu sein und reagieren zu können.