Thought Leadership
Mit ihren jüngsten Leitlinien zum Cyber Resilience Act (CRA) bietet die Europäische Kommission Herstellern und Softwareanbietern eine klarere Orientierung bei der Umsetzung eines der bislang bedeutendsten EU-Gesetze zur Cybersicherheit.
Die Leitlinien schaffen Klarheit in zahlreichen bislang kontrovers diskutierten Punkten – unter anderem zur Behandlung von Open-Source-Software – dazu, wann ein Software-Update als wesentliche Änderung („substantial modification“) gilt, sowie zur Festlegung von Supportzeiträumen. Das ist zwar hilfreich, doch die Leitlinien verdeutlichen zugleich einen Aspekt, den vom CRA erfasste Unternehmen bislang eher zurückhaltend angegangen sind: die Sorgfaltspflicht gegenüber sämtlichen Drittanbietern und Open-Source-Komponenten sowie gegenüber Abhängigkeiten von Remote-Datenverarbeitung und Cloud-Diensten, die in ein vernetztes Produkt integriert sind. Genau hier liegt die eigentliche Compliance-Herausforderung.
Gemäß CRA endet die Verantwortung eines Herstellers nicht bei dem Code, den er selbst entwickelt hat. Sie erstreckt sich vielmehr auch auf integrierte Komponenten, die genutzten Infrastrukturanbieter sowie auf die Maschinenidentitäten und Zugangsdaten, über die Daten zwischen all diesen Elementen ausgetauscht werden. Laut Keeper-Studie 2026 nennen bereits 25 Prozent der deutschen Unternehmen die unzureichende Kontrolle über den Zugriff von Drittanbietern und Lieferanten als Schwachstelle ihrer Governance. Die neuen Leitlinien beseitigen diese Lücke nicht – sie setzen vielmehr eine verbindliche Frist, bis zu der sie geschlossen werden muss. So gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen bereits ab dem 11. September 2026, also deutlich vor dem allgemeinen Stichtag für die Einhaltung der CRA-Vorgaben im Dezember 2027.
Maschinenidentitäten und Secrets sind der Schlüssel zur Compliance
Unternehmen, die sich auf diesen Zeitplan vorbereiten, sollten Transparenz über nicht-menschliche Identitäten und Geheimnisse („Secrets“) – also API-Schlüssel, Tokens und Servicekonten, die ein Produkt mit seinen Abhängigkeiten verbinden – nicht als technische Randfrage betrachten, sondern als zentralen Bestandteil ihrer Compliance-Infrastruktur. Die zentrale Verwaltung dieser Zugangsdaten über Entwicklungs- und Integrationsprozesse hinweg ermöglicht es Herstellern erst, die von den Leitlinien geforderte Sorgfalt nachzuweisen. Wer erst 2027 mit dem Aufbau dieser Transparenz beginnt, läuft Gefahr, die bereits im September 2026 geltenden Meldepflichten nicht erfüllen zu können.
