Bild © CANCOM
Am 11. September 2026 treten die ersten Meldepflichten in Kraft, am 11. Dezember 2027 müssen die Vorgaben vollständig umgesetzt werden: Spätestens jetzt ist der Cyber Resilience Act (CRA) im Unternehmensumfeld angekommen. Damit legt die EU einen zentralen Baustein der europäischen Cybersicherheitsstrategie.
Doch Unternehmen scheinen nicht ausreichend auf die bevorstehenden Anforderungen des CRA vorbereitet zu sein: Der IoT & OT Cybersecurity Report 2026 von Onekey bestätigt, dass fast die Hälfte der befragten Firmen kaum oder gar nicht mit den Änderungen vertraut sind.
Der Cyber Resilience Act fördert und fordert
Doch wie sehen die Vorgaben des CRA konkret aus? Zu den wesentlichen Anforderungen zählen:
- Sicherheitskonzepte ab Produktentwicklungsbeginn
- Durchgängiges Lebenszyklus-Management
- Dokumentationen von Risikobewertungen
- Formaler Konformitätsnachweis des EU-Vertriebs
- Verpflichtende externe Prüfungen bei besonders kritischen Produkten
Entscheidend dabei: Der CRA gilt nicht nur für neu entwickelte Produkte, sondern auch für solche, die bereits am Markt sind. Und es verlangt mehr als reine Dokumentation: Unternehmen müssen dauerhaft funktionierende Prozesse etablieren – vom systematischen Umgang mit Schwachstellen über kontinuierliches Risikomanagement bis hin zu regelmäßigen Sicherheitsupdates.
Organisatorische Defizite auf Unternehmensseite
In der Onekey-Befragung nennen 62 Prozent der befragten Unternehmen die laut CRA ab September gültige Meldepflicht von Sicherheitsvorfällen innerhalb von 24 Stunden als Herausforderung. 30 Prozent stufen diese sogar als „ernsthafte Hürde“ ein. Haupthürde sei für 30 Prozent die Erstellung von Software-Stücklisten, genauso die generelle Konformitätsbewertung. Ein ungelöstes Problem ist laut Onekey ebenfalls das Vulnerability Management, also das Erkennen und Beheben von Schwachstellen. 25 Prozent hielten sich beim Risikomanagement für sehr gut vorbereitet – gleichzeitig ist dem Report zufolge etwa ein Drittel bei internen Prozessen, Risikomanagement und Sicherheitsupdate-Management im Rückstand bei der Umsetzung.
13 Prozent der Firmen rechnen aufgrund dessen damit, die Frist 2027 zu verfehlen. Ein Drittel strebt hingegen die vollständige CRA-Compliance bis dahin an, ein Viertel möchte diese laut Studie sogar bis Ende 2026 erzielt haben.