Thought Leadership
Ab dem 11. September 2026 gelten die ersten verbindlichen Pflichten aus dem Cyber Resilience Act. Ein erheblicher Teil kennt die Anforderungen kaum und ist auf die neue 24-Stunden-Meldepflicht für Sicherheitslücken nicht vorbereitet.
Die erste Phase betrifft Hersteller, Importeure und Händler vernetzter Produkte: Sie müssen künftig aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden melden. Trotz des nahenden Stichtags gibt fast die Hälfte der befragten Unternehmen an, mit den Anforderungen kaum oder gar nicht vertraut zu sein. Das geht aus dem „IoT & OT Cybersecurity Report 2026“ des Düsseldorfer Cybersicherheitsanbieters Onekey hervor, für den 200 deutsche Industrieunternehmen befragt wurden.
Onekey-Geschäftsführer Jan Wendenburg zieht daraus ein zwiespältiges Fazit:
Die deutsche Industrie ist in Sachen Cyber Resilience Act auf dem richtigen Weg, aber die Umsetzung sollte deutlich beschleunigt werden.
Jan Wendenburg, Geschäftsführer bei Onekey
Betroffen sind mehr Firmen als gedacht
Der CRA gilt nicht nur für neu entwickelte Produkte, sondern grundsätzlich auch für bereits am Markt befindliche Geräte. „Das gilt von Ausnahmen abgesehen auch für alle Produkte, die bereits auf dem Markt sind, also nicht etwa nur für neue Entwicklungen, wie häufig fälschlicherweise angenommen wird“, stellt Wendenburg klar. Zu den betroffenen Produktkategorien zählen unter anderem vernetzte Maschinen und Steuerungen, Router und Netzwerkgeräte, IoT- und Smart-Home-Geräte, Betriebssysteme sowie industrielle Steuerungssoftware. Auch für Firmen kann eine Pflicht entstehen, die sich eigentlich nur als Anwender sehen: Wer vernetzte Maschinen etwa aus Asien importiert und an eine Tochtergesellschaft weitergibt, kann rechtlich als Importeur im Sinne der Verordnung gelten.
Immerhin bezeichnen sich laut Umfrage 46 Prozent der Unternehmen als gut informiert, davon 21 Prozent als sehr gut. Beim Blick auf den gesamten Zeitplan der Verordnung sinkt dieser Anteil aber deutlich: Nur ein Drittel kennt sämtliche vier Umsetzungsfristen bis zum vollständigen Inkrafttreten am 11. Dezember 2027.
Vor allem SBOMs und Meldepflicht bereiten Probleme
Als größte Hürde nennen die befragten Unternehmen die neue Meldepflicht für Sicherheitsvorfälle innerhalb von 24 Stunden: 62 Prozent sehen hier Schwierigkeiten, 30 Prozent davon „ernsthafte“. Auch die Erstellung von Software-Stücklisten (SBOM) sowie die generelle Konformitätsbewertung gelten für rund 30 Prozent als Haupthürden, laut Report haben mindestens 60 Prozent der Firmen das SBOM-Thema noch nicht gelöst.
Das Vulnerability Management, also das systematische Aufspüren und Beheben von Schwachstellen, bleibt für 62 Prozent der Unternehmen ein ungelöstes Problem. „Ein vollständiger Überblick über alle in den eigenen Produkten eingesetzten Programme stellt eine Grundvoraussetzung für CRA-Compliance dar“, erklärt Wendenburg. „Wer seine Software gar nicht komplett kennt, weiß auch nicht, welche Sicherheitslücken dort bestehen können.“ Auch das vom CRA geforderte Prinzip „Security by Design/Security by Default“ bereitet zwei Dritteln der Firmen Kopfzerbrechen.
Bei der Selbsteinschätzung zur Vorbereitung zeigt sich ein gemischtes Bild: Beim Risikomanagement halten sich 25 Prozent für sehr gut vorbereitet, bei Sicherheitsanforderungen 22 Prozent, bei Dokumentation und Sicherheitsupdates jeweils rund 20 Prozent. Gleichzeitig hat laut Report etwa ein Drittel der Firmen bei internen Prozessen, Risikomanagement und Sicherheitsupdate-Management bislang kaum etwas umgesetzt.
Zeitplan: Ein Fünftel will früh fertig sein
Ein Drittel der Unternehmen will die vollständige CRA-Compliance bis zum Stichtag im Dezember 2027 erreicht haben, gut ein Viertel peilt bereits Ende 2026 an, acht Prozent sehen sich schon heute am Ziel. 13 Prozent der Firmen rechnen dagegen damit, die Frist zu verfehlen.
Onekey-Chef Wendenburg verweist zudem auf ein wachsendes Risiko durch automatisierte, KI-gestützte Angriffe und nimmt dabei Bezug auf kürzlich bekannt gewordene Sicherheitsvorfälle bei OpenAI und Anthropic, bei denen KI-Modelle in Tests über die vorgesehenen Testumgebungen hinaus auch reale externe Systeme angriffen. „Die Vorfälle machen klar, dass leistungsfähige KI-Agenten bereits heute selbstständig mehrstufige Angriffsketten ausführen und Schwachstellen ausnutzen können“, sagt Wendenburg. Perspektivisch dürften nicht mehr nur klassische IT-Systeme, sondern zunehmend auch vernetzte Produktionsanlagen und Steuerungen zum Ziel werden.
(red)
