Allgemein12. August 2026By Fabian Kurz Cyber Resilience Act: Cybersicherheit wird zur Marktzulassungsschranke Mit dem Cyber Resilience Act (CRA) schafft die Europäische Union erstmals ein einheitliches Cybersicherheitsrecht für Produkte mit digitalen Elementen. Betroffen sind zahlreiche Hard- und Softwareprodukte, die auf dem europäischen Markt bereitgestellt werden. Ziel der Verordnung ist es, Cybersicherheit verbindlich in den gesamten Produktlebenszyklus zu integrieren und gleichzeitig das Sicherheitsniveau digitaler Produkte innerhalb der EU zu erhöhen. Wer ist betroffen? Der CRA richtet sich vorrangig an Hersteller von Produkten mit digitalen Elementen. Darunter fallen nicht nur klassische Softwareanbieter, sondern auch Anbieter vernetzter Geräte, industrieller Systeme, IoT-Lösungen oder digitaler Komponenten. Darüber hinaus bezieht die Verordnung auch Importeure und Händler in die Verantwortung mit ein. Die wichtigsten Anforderungen auf einen Blick Der CRA verfolgt die Grundsätze „Security by Design“ und „Security by Default“. Hersteller müssen Cybersicherheit bereits bei der Entwicklung ihrer Produkte berücksichtigen und während des gesamten Lebenszyklus aufrechterhalten. Hierzu gehören insbesondere ein systematisches Risikomanagement, der strukturierte Umgang mit Schwachstellen, die Bereitstellung von Sicherheitsupdates sowie eine nachvollziehbare technische Dokumentation der umgesetzten Sicherheitsmaßnahmen. Damit werden Anforderungen verbindlich, die bislang häufig als Best Practice oder Branchenstandard betrachtet wurden. CE-Kennzeichnung als Nachweis der Cybersicherheit Für viele Unternehmen dürfte die wohl wichtigste Neuerung sein, dass Cybersicherheit künftig unmittelbar mit dem Marktzugang verknüpft wird. Produkte, die in den Anwendungsbereich des CRA fallen, müssen die regulatorischen Anforderungen erfüllen und ein entsprechendes Konformitätsbewertungsverfahren durchlaufen. Die CE-Kennzeichnung wird damit zum sichtbaren Nachweis, dass die Cybersicherheitsanforderungen der Verordnung eingehalten werden. Cybersicherheit entwickelt sich somit zunehmend von einer technischen Zusatzanforderung zu einer zwingenden Voraussetzung, um digitale Produkte auf dem europäischen Markt anbieten zu dürfen. Die Zeitachse: Jetzt handeln statt später reagieren Obwohl die vollständige Anwendbarkeit des CRA erst zum 11. Dezember 2027 erreicht wird, treten einzelne Verpflichtungen bereits deutlich früher in Kraft. Besonders relevant sind die Meldepflichten ab 11. September 2026. Ab diesem Zeitpunkt müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb vorgegebener Fristen an die zuständigen Stellen melden. Die dafür vorgesehenen Reaktionszeiten sind kurz und verlangen nach etablierten Prozessen zur Erkennung, Bewertung und Eskalation von Sicherheitsereignissen. Viele Unternehmen werden daher bereits in den kommenden Monaten die organisatorischen und technischen Voraussetzungen schaffen müssen, um diese Anforderungen zu erfüllen. Warum ein Informationssicherheitsmanagementsystem jetzt besonders wertvoll wird Viele Unternehmen betrachten den CRA zunächst als weiteres regulatorisches Projekt. In der Praxis zeigt sich jedoch schnell: Die Anforderungen ähneln zahlreichen etablierten Bausteinen eines Informationssicherheitsmanagementsystems (ISMS). Unternehmen, die bereits nach ISO/IEC 27001 arbeiten oder ihr Sicherheitsmanagement strukturiert aufgebaut haben, verfügen häufig schon über: Risikomanagementprozesse Dokumentationsstrukturen Schwachstellenmanagement Incident-Management Verantwortlichkeiten und Rollen Kontinuierliche Verbesserungsprozesse Diese Elemente können die Umsetzung des CRA erheblich erleichtern. Ein ISMS schafft Transparenz über Produkte, Prozesse und Risiken. Gleichzeitig hilft es dabei, Nachweispflichten zu erfüllen und regulatorische Anforderungen effizient in bestehende Abläufe zu integrieren. Statt einzelne Vorgaben isoliert umzusetzen, entsteht ein nachhaltiger und skalierbarer Sicherheitsansatz. Der CRA kann daher ein guter Anlass sein, das eigene Sicherheitsmanagement kritisch zu überprüfen und gegebenenfalls weiterzuentwickeln.
