Die Hälfte aller Firmen hat CRA-Teams gebildet

Der EU Cyber Resilience Act (CRA) zwingt deutsche Industrieunternehmen dazu, ihre vernetzten Produkte neu auf Cybersicherheit auszurichten.

Eine aktuelle Untersuchung von ONEKEY zeigt, dass viele Firmen dafür bereits eigene Ressourcen bereitstellen. Gleichzeitig sind Zuständigkeiten und Vorbereitungen sehr unterschiedlich organisiert.

Unternehmen stellen eigene Teams auf

Für den „IoT & OT Cybersecurity Report 2026“ hat das Düsseldorfer Cybersicherheitsunternehmen ONEKEY 200 deutsche Industrieunternehmen zum Umgang mit dem Cyber Resilience Act befragt. Die Ergebnisse zeigen, dass die Verordnung in vielen Betrieben bereits konkrete organisatorische Konsequenzen hat.

Ein Fünftel der Unternehmen hat demnach ein eigenes Team eingerichtet, das sich mit der Anpassung der Produktpalette an die neuen Anforderungen beschäftigt. Weitere 28 Prozent setzen dafür bis zu zehn Mitarbeitende ein, während 22 Prozent sogar mit einer größeren Personalstärke an der Vorbereitung arbeiten. 16 Prozent der Befragten kommen mit höchstens drei Fachleuten aus. Bei 19 Prozent ist bislang überhaupt kein Personal fest für das Thema vorgesehen.

Damit wird deutlich, dass die Umsetzung des CRA nicht nur eine Frage der IT-Sicherheit ist. Für Unternehmen mit zahlreichen IoT- und OT-Produkten reicht die Bandbreite der betroffenen Bereiche von der Produktentwicklung bis hin zu Compliance und Recht.

Verantwortung liegt in mehreren Abteilungen

Auch bei der organisatorischen Zuständigkeit ergibt sich ein uneinheitliches Bild. In der Hälfte der befragten Unternehmen liegt die Verantwortung bei der IT-Sicherheitsabteilung. Bei 26 Prozent ist die Produktentwicklung federführend. Weitere 15 Prozent ordnen die Aufgabe der Compliance-Abteilung zu, ebenfalls 15 Prozent sehen die Rechtsabteilung in der Verantwortung.

Auf Ebene einzelner Funktionen zeigt sich ein ähnliches Bild. Produktmanager übernehmen mit 31 Prozent am häufigsten Verantwortung für die CRA-Umsetzung. Dahinter folgen Cybersecurity-Analysten mit 26 Prozent und Compliance-Manager mit 23 Prozent. Leiter der Softwareentwicklung kommen auf 15 Prozent, Chief Information Security Officers auf 13 Prozent.

In 27 Prozent der Unternehmen ist das Thema sogar unmittelbar bei Vorstand oder Geschäftsführung angesiedelt.

Jan Wendenburg, CEO von ONEKEY, hält eine solche Einbindung der Führungsebene angesichts der möglichen Folgen für sinnvoll. Bei Verstößen gegen grundlegende Anforderungen des CRA können laut den Angaben im Bericht Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes verhängt werden – maßgeblich ist der jeweils höhere Betrag.

Externe Unterstützung bleibt gefragt

Viele Unternehmen setzen bei der Umsetzung nicht ausschließlich auf vorhandene interne Ressourcen. 61 Prozent der Befragten haben bereits ein Budget für die CRA-Umsetzung eingeplant oder wollen entsprechende Mittel bereitstellen.

Nur 18 Prozent gehen nach eigener Einschätzung davon aus, keine externe Unterstützung zu benötigen. Das zeigt, wie umfangreich die Anpassungen aus Sicht der betroffenen Unternehmen ausfallen können.

Für Hersteller mit einer großen Zahl digital vernetzter Produkte bedeutet die Verordnung insbesondere, bestehende Entwicklungs- und Sicherheitsprozesse zu überprüfen und gegebenenfalls neu auszurichten.

Cybersicherheit wird Teil des Produktdesigns

Der CRA geht dabei über klassische IT-Sicherheitsmaßnahmen hinaus. Die Anforderungen betreffen die Produkte selbst und verlangen unter anderem Cybersicherheit bereits bei der Entwicklung sowie sichere Standardeinstellungen.

Hinzu kommen dokumentierte Risikobewertungen, Prozesse für das Schwachstellenmanagement und Sicherheitsupdates während des vorgesehenen Unterstützungszeitraums. Damit wird Cybersicherheit stärker zu einem Bestandteil des gesamten Produktlebenszyklus.

Für die Industrie kann das auch Auswirkungen auf Entwicklungszeiten und Markteinführungen haben. Mehr als 60 Prozent der von ONEKEY befragten Unternehmen rechnen mit einem höheren zeitlichen Aufwand bei der Entwicklung neuer oder überarbeiteter Geräte, Maschinen und Anlagen. 28 Prozent erwarten sogar eine deutlich längere Entwicklungsdauer.

17 Prozent sehen dagegen keine Veränderung, während 21 Prozent noch keine Einschätzung dazu abgeben können.

Milliardenmarkt von der Regulierung betroffen

Die Dimension der neuen Vorgaben ist erheblich. Nach der im Bericht aufgegriffenen Folgenabschätzung der Europäischen Kommission umfasst der betroffene europäische Hardware- und Softwaremarkt einen jährlichen Umsatz von rund 1,485 Billionen Euro. Entsprechend groß ist auch die Zahl der Geräte und Systeme, die unter die neuen Anforderungen fallen können.

Die EU-Kommission schätzt die direkten Kosten für die Umsetzung des Cyber Resilience Act auf bis zu 29 Milliarden Euro.

Für Unternehmen bedeutet das, dass die Anforderungen nicht isoliert von einzelnen Sicherheitsabteilungen bearbeitet werden können. Produktmanagement, Entwicklung, IT-Sicherheit, Compliance und Rechtsabteilungen müssen vielfach zusammenarbeiten.

Neue Anforderungen für den Marktzugang

Besonders relevant ist der Zeitplan der Verordnung. Ab dem 11. Dezember 2027 dürfen Produkte mit digitalen Komponenten grundsätzlich nicht mehr ohne entsprechende CRA-Compliance in der EU in Verkehr gebracht werden.

Für bereits auf dem Markt befindliche Produkte gelten Übergangs- beziehungsweise Bestandsschutzregelungen. Diese greifen jedoch nicht uneingeschränkt. Insbesondere bei wesentlichen Veränderungen an bestehenden Produkten können die Anforderungen des Cyber Resilience Act relevant werden.

Für Hersteller entsteht damit ein zusätzlicher Handlungsdruck: Die notwendigen Prozesse, technischen Maßnahmen und Nachweise müssen rechtzeitig vor der Markteinführung aufgebaut und in die Produktentwicklung integriert werden.

CRA wird zur Managementaufgabe

Die Ergebnisse der ONEKEY-Untersuchung zeigen vor allem eines: Die Umsetzung des Cyber Resilience Act ist für die deutsche Industrie keine reine Compliance-Frage. Die Regulierung verändert Prozesse rund um Entwicklung, Schwachstellenmanagement, Dokumentation und Produktpflege.

Unternehmen müssen daher nicht nur klären, welche ihrer Produkte unter den CRA fallen. Sie müssen auch festlegen, wer für die Umsetzung verantwortlich ist, welche Ressourcen benötigt werden und wie Sicherheitsanforderungen dauerhaft über den gesamten Produktlebenszyklus eingehalten werden können.

Je stärker vernetzte Geräte und Maschinen zum Bestandteil industrieller Prozesse werden, desto mehr wird Cybersicherheit damit zu einer Eigenschaft des Produkts selbst – und zu einer Aufgabe, die weit über die klassische IT-Abteilung hinausgeht.

(red/ONEKEY)