Cyber Resilience Act setzt Hersteller unter Zeitdruck

Unternehmen müssen Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb vorgegebener Fristen melden und ihre Prozesse schrittweise auf die umfassenderen Anforderungen der Verordnung ausrichten.

Meldepflichten sind erst der Anfang

Betroffen sind zahlreiche Produkte mit digitalen Elementen. Dazu gehören unter anderem Software, vernetzte Haushaltsgeräte und industrielle Steuerungssysteme. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Zuständige Stelle auf europäischer Ebene ist die Cybersicherheitsagentur ENISA.

Die weitergehenden Anforderungen folgen mit der vollständigen Anwendbarkeit des CRA im Dezember 2027. Bis dahin müssen Hersteller unter anderem nachweisen können, dass Sicherheitsaspekte während des gesamten Produktlebenszyklus berücksichtigt werden.

Damit betrifft die Umsetzung nicht nur die Entwicklung und IT. Auch Qualitätsmanagement, Compliance, Produktverantwortung und die Unternehmensleitung müssen in entsprechende Prozesse eingebunden werden.

Abwarten auf Normen kann die Vorbereitung verzögern

Bei der praktischen Umsetzung besteht laut TÜV NORD GROUP teilweise noch Zurückhaltung. Unternehmen warten demnach auf die vollständige Ausgestaltung harmonisierter Normen.

Michelle Michael, Lead Expert Secure Digital Solutions bei TÜVIT, hält dieses Vorgehen für problematisch: „Die grundlegenden Anforderungen des CRA stehen fest. Wer jetzt nicht beginnt, Prozesse und Produkte darauf auszurichten, könnte wertvolle Zeit verlieren.“

Zu den notwendigen Vorbereitungen gehören unter anderem Risikoanalysen, klar definierte Verantwortlichkeiten und Meldewege sowie ein systematischer Umgang mit Schwachstellen. Auch Entwicklungs- und Dokumentationsprozesse müssen auf die neuen Anforderungen abgestimmt werden.

Technische Sicherheit allein reicht nicht

Die Umsetzung des CRA verbindet technische und organisatorische Aufgaben mit regulatorischen Vorgaben. Neben der Absicherung eines Produkts müssen Hersteller beispielsweise nachweisen können, wie Sicherheitsrisiken bewertet und Schwachstellen behandelt werden.

Die TÜV NORD GROUP bietet in diesem Zusammenhang verschiedene Ansätze an. Dazu gehören Produkt- und Prozessbewertungen, Risiko- und Schwachstellenanalysen sowie die Orientierung an Sicherheitsstandards wie IEC 62443. Hinzu kommen Untersuchungen von Schwachstellenmanagement und Krisenprozessen sowie Qualifizierungsangebote der TÜV NORD Akademie.

Cybersicherheit wird Teil der Produktverantwortung

Mit dem CRA verschiebt sich die Verantwortung für die Sicherheit digitaler Produkte stärker in Richtung der Hersteller. Cybersicherheit wird damit zu einer Anforderung, die bereits bei Entwicklung und Konstruktion berücksichtigt und über den gesamten Lebenszyklus weitergeführt werden muss.

Für Hersteller bleibt damit bis zur vollständigen Anwendung der Verordnung vor allem die Aufgabe, technische Sicherheitsmaßnahmen mit belastbaren Prozessen zu verbinden. Wer Schwachstellenmanagement, Risikobewertung und Dokumentation erst kurz vor dem Stichtag aufbaut, dürfte deutlich weniger Zeit für Anpassungen haben.

(red/TÜV NORD)