Studie zum Cyber Resilience Act
Viele Unternehmen noch nicht auf CRA vorbereitet
Beim Cyber Resilience Act besteht in vielen deutschen Industrieunternehmen noch Nachholbedarf. Vor allem Meldepflichten, Schwachstellenmanagement und Software-Stücklisten bereiten Schwierigkeiten.
Der Cyber Resilience Act verpflichtet Hersteller, Importeure und Händler vernetzter Produkte zu umfassenden Maßnahmen für die Cybersicherheit. Viele Industrieunternehmen haben bei Meldepflichten, Schwachstellenmanagement und Security by Design noch Nachholbedarf.
Mit KI erstellt
Viele deutsche Industrieunternehmen sind auf die kommenden Pflichten des Cyber Resilience Act noch nicht ausreichend vorbereitet. Laut einer Befragung von 200 Unternehmen kennt fast die Hälfte die Anforderungen der EU-Verordnung kaum oder gar nicht. Besonders bei Meldepflichten, Schwachstellenmanagement und Software-Stücklisten besteht Nachholbedarf.
Der Cyber Resilience Act stellt neue Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen. Erste Verpflichtungen greifen bereits am 11. September 2026. Hersteller, Importeure und Händler müssen dann unter anderem aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden.
Die Untersuchung stammt aus dem „IoT & OT Cybersecurity Report 2026“ des Cybersicherheitsunternehmens Onekey. Befragt wurden 200 deutsche Industrieunternehmen zu ihrem Kenntnisstand und zur Umsetzung des CRA bei vernetzten Geräten sowie Operational Technology.
Wie gut kennen Unternehmen die CRA-Fristen?
46 Prozent der befragten Unternehmen geben an, mit dem Cyber Resilience Act vertraut zu sein, weitere 21 Prozent nach eigener Einschätzung sogar sehr gut. Gleichzeitig wissen nur 43 Prozent, dass bereits im September 2026 die erste Phase der Verpflichtungen beginnt. 60 Prozent sind die weiteren Fristen der Verordnung nicht bekannt. Nur rund ein Drittel kennt demnach den vollständigen Zeitplan bis zum umfassenden Inkrafttreten am 11. Dezember 2027.
Umsetzung in vielen Bereichen noch lückenhaft
Auch bei der praktischen Umsetzung zeigt sich ein gemischtes Bild. Beim Risikomanagement bezeichnen sich 25 Prozent als sehr gut vorbereitet. Bei den Sicherheitsanforderungen sind es 22 Prozent, bei Dokumentation und Sicherheitsupdates jeweils 20 Prozent und bei internen Prozessen sowie technischen Nachweisen 17 Prozent. Ein großer Teil der Unternehmen hat diese Themen zwar begonnen, aber noch nicht vollständig umgesetzt.
Rund ein Drittel der Unternehmen hat laut der Untersuchung bei internen Prozessen, Risikomanagement oder dem Management von Sicherheitsupdates bislang kaum Maßnahmen umgesetzt. 30 Prozent haben sich mit den künftig verpflichtenden Sicherheitsanforderungen oder den erforderlichen technischen Nachweisen erst in geringem Umfang beschäftigt.
Welche CRA-Pflichten bereiten die größten Probleme?
Zu den größten Herausforderungen zählt die Meldepflicht für Sicherheitsvorfälle. 62 Prozent der Unternehmen sehen darin Schwierigkeiten. Besonders relevant ist dies mit Blick auf den 11. September 2026, ab dem entsprechende Meldepflichten greifen.
Auch die Konformitätsbewertung und die Erstellung von Software Bills of Materials, kurz SBOM, bereiten vielen Unternehmen Probleme. Jeweils 30 Prozent bezeichnen diese Punkte als besonders schwierig. Mindestens 60 Prozent haben die Erstellung von Software-Stücklisten nach eigenen Angaben noch nicht vollständig gelöst.
Das Vulnerability Management stellt für 62 Prozent der Unternehmen ebenfalls noch eine Herausforderung dar. Dabei geht es darum, Schwachstellen in eingesetzter Software zu erkennen, zu bewerten und zu beheben.
Security by Design bleibt eine zentrale Hürde
Zwei Drittel der befragten Unternehmen sehen zudem Schwierigkeiten bei „Security by Design“ beziehungsweise „Security by Default“. Der CRA verlangt damit, Cybersicherheit bereits während der Produktentwicklung zu berücksichtigen und Produkte mit sicheren Voreinstellungen auszuliefern. Auch die Absicherung über den gesamten Produktlebenszyklus hinweg beschäftigt einen großen Teil der Befragten.
Wann wollen Unternehmen CRA-konform sein?
Ein Drittel der Unternehmen plant, bis zum vollständigen Inkrafttreten des Cyber Resilience Act am 11. Dezember 2027 sämtliche Anforderungen umzusetzen. 26 Prozent wollen dieses Ziel bereits bis Ende 2026 erreichen, acht Prozent sehen sich nach eigener Einschätzung schon heute als vollständig vorbereitet. 13 Prozent erwarten dagegen, ihre Produktpalette bis Dezember 2027 noch nicht vollständig angepasst zu haben.
Onekey-CEO Jan Wendenburg bewertet den Stand der Umsetzung entsprechend zurückhaltend: „Die deutsche Industrie ist in Sachen Cyber Resilience Act auf dem richtigen Weg, aber die Umsetzung sollte deutlich beschleunigt werden.“
