CRA: Industrie hat erheblichen Nachholbedarf

Die deutsche Wirtschaft hat bei der Umsetzung des Cyber Resilience Act (CRA) deutlich einen Nachholbedarf. Zu diesem Ergebnis kommt der neue „IoT & OT Cybersecurity Report 2026“ des Düsseldorfer Cybersicherheitsunternehmens Onekey. Für die Studie wurden 200 deutsche Industrieunternehmen zu ihrer Strategie und Umsetzung der EU-Cybersicherheitsverordnung bei Operational Technology (OT) und Internet of Things (IoT) befragt.

45 % der Unternehmen gaben an, mit den Anforderungen entweder kaum oder gar nicht vertraut zu sein. Gleichzeitig treten die ersten CRA-Verpflichtungen bereits am 11. September 2026 in Kraft. Ab diesem Stichtag müssen Hersteller, Importeure und Händler vernetzter Geräte, Maschinen und Anlagen aktiv ausgenutzte Schwachstellen in ihren Produkten und damit verbundene schwerwiegende Sicherheitsvorfälle melden. Onekey-CEO Jan Wendenburg stellt klar: „Das gilt von Ausnahmen abgesehen auch für alle Produkte, die bereits auf dem Markt sind, also nicht etwa nur für neue Entwicklungen, wie häufig fälschlicherweise angenommen wird.“

Wie Onekey berichtet, betrifft dies beispielsweise vernetzte Maschinen und Steuerungen, Router, Firewalls und Netzwerkgeräte, IoT- und Smart-Home-Geräte, Betriebssysteme, Apps und andere Software sowie industrielle Steuerungssoftware. Auch notwendige Cloud-Funktionen können darunterfallen. Selbst Industriebetriebe, die sich lediglich als Nutzer verstehen, können laut Onekey vom Cyber Resilience Act betroffen sein. Importiert ein Unternehmen beispielsweise vernetzte Maschinen direkt aus Asien und gibt diese an eine Tochter- oder Schwestergesellschaft ab, kann es als Importeur im Sinne des CRA gelten.

Viele Unternehmen kennen die CRA-Fristen nicht

46 % der befragten Unternehmen kennen sich nach eigenen Angaben mit dem Cyber Resilience Act aus, 21 % sogar sehr gut. 43 % wissen, dass die erste Phase der Pflichten bereits im September 2026 beginnt. Bei den weiteren Terminen bestehen jedoch deutliche Wissenslücken: 60 % erklären, dass ihnen die weiteren Phasen und Fristen der EU-Sicherheitsverordnung nicht bekannt sind.

„Tatsächlich gibt es im CRA-Umsetzungszeitplan der EU drei weitere Fristen, bevor am 11. Dezember 2027 der Cyber Resilience Act vollumfänglich in Kraft tritt“, so Onekey-Chef Jan Wendenburg. Laut Report kennt lediglich ein Drittel der befragten Unternehmen diese Termine.

Wie weit die CRA-Umsetzung fortgeschritten ist

Auch bei der konkreten Vorbereitung ergibt sich ein uneinheitliches Bild. Als „sehr gut vorbereitet“ bezeichnen sich 25 % der Unternehmen beim Risikomanagement. Bei den Sicherheitsanforderungen sind es 22 %, bei Dokumentation und Sicherheitsupdates über den gesamten Produktlebenszyklus jeweils 20 % sowie bei internen Prozessen und technischen Nachweisen 17 %.

Andere Unternehmen haben entsprechende Maßnahmen begonnen, aber erst teilweise umgesetzt. Bei technischen Nachweisen trifft dies auf 39 % zu, bei der Dokumentation auf 37 %. Interne Abläufe und Sicherheitsupdates haben jeweils 34 % teilweise umgesetzt, beim Risikomanagement sind es 26 %.

Nach Einschätzung des Reports ist damit rund ein Drittel der Unternehmen bislang weder bei internen Prozessen noch beim Risikomanagement oder beim Management von Sicherheitsupdates auf den Cyber Resilience Act vorbereitet. 30 % haben die Sicherheitsanforderungen kaum in Angriff genommen oder technische Nachweise auf den Weg gebracht.

Jan Wendenburg fasst zusammen: „Die Ergebnisse zeigen eine breite Streuung: Ein kleinerer Teil sieht sich bereits sehr gut vorbereitet, viele Unternehmen befinden sich mitten in der Umsetzung, während rund ein Drittel noch kaum begonnen hat.“

„Cybersecurity wird zu einem festen Bestandteil der Produktzulassung“

Mit CRA und neuer EU-Maschinenverordnung wird Cybersicherheit zur Pflicht für Maschinenbauer. Hersteller müssen Risiken über den gesamten Produktlebenszyklus bewerten, dokumentieren und absichern – auch an externen Schnittstellen, die oft unterschätzte Einfallstore darstellen.

Redaktion Automation NEXT

Meldepflicht und SBOM werden zur Herausforderung

Zu den größten Herausforderungen gehört laut Onekey die Meldepflicht für Sicherheitsvorfälle binnen 24 Stunden, die am 11. September 2026 in Kraft tritt. 62 % der befragten Unternehmen sehen hier Schwierigkeiten, für 30 % stellt dieser Aspekt eine besonders große Herausforderung dar. Bei 30 % erweist sich zudem die Konformitätsbewertung als äußerst problematisch. Dabei geht es um die Frage, ob die eigene Produktpalette bereits Compliance zum Cyber Resilience Act aufweist oder noch Nachholbedarf besteht.

Eine weitere Hürde ist die Erstellung von Software-Stücklisten, sogenannten Software Bills of Materials (SBOM). Für 30 % zählt sie zu den größten Herausforderungen. Mindestens 60 % der befragten Unternehmen haben dieses Problem noch nicht gelöst. „Ein vollständiger Überblick über alle in den eigenen Produkten eingesetzten Programme stellt eine Grundvoraussetzung für CRA-Compliance dar“, verdeutlicht Jan Wendenburg. Und ergänzt: „Wer seine Software gar nicht komplett kennt, weiß auch nicht, welche Sicherheitslücken dort bestehen können.“

Vulnerability Management wird zum Schlüsselfaktor

Auch das Vulnerability Management bereitet vielen Unternehmen Schwierigkeiten. Das Aufspüren und Beheben von Angriffsflächen in der Software ist für 62 % noch ein ungelöstes Problem. Für fast ein Viertel gehört es zu den größten Herausforderungen auf dem Weg zur CRA-Compliance.

Zwei Drittel der befragten Unternehmen sehen zudem Schwierigkeiten beim geforderten Konzept „Security by Design / Security by Default“, 24 % stufen es als kritischen Faktor ein. Dabei soll Cybersicherheit von Beginn an in die Produktentwicklung integriert werden, während Produkte bereits mit sicheren Voreinstellungen ausgeliefert werden.

Die Sicherheit über den gesamten Produktlebenszyklus hinweg stellt für beinahe ein Viertel der Unternehmen ein gravierendes Problem dar. Weitere 40 % betrachten diesen Punkt als überwindbare Hürde. Nur rund 15 % stufen alle genannten Aspekte nicht als Herausforderung ein.

Ein Drittel peilt CRA-Compliance bis Ende 2027 an

Trotz der Schwierigkeiten will ein Drittel der Unternehmen bis zum vollständigen Inkrafttreten des Cyber Resilience Act am 11. Dezember 2027 Compliance ohne Abstriche erreicht haben. Ab diesem Zeitpunkt müssen neu in Verkehr gebrachte Geräte, Maschinen und Anlagen mit digitalen Elementen die CRA-Cybersicherheitsanforderungen vollständig erfüllen. 26 % wollen dieses Ziel bereits Ende 2026 erreichen. 8 % sehen sich nach eigener Einschätzung schon heute entsprechend aufgestellt. Dagegen befürchten 13 %, ihre Produktpalette bis zum 11. Dezember 2027 nicht vollständig an den Cyber Resilience Act angepasst zu haben.

„Die deutsche Industrie ist in Sachen Cyber Resilience Act auf dem richtigen Weg, aber die Umsetzung sollte deutlich beschleunigt werden“, resümiert Jan Wendenburg. Nach Angaben von Onekey betrifft der Handlungsdruck nicht nur die regulatorischen Fristen. Das Unternehmen verweist zugleich auf zunehmend automatisierte und KI-gestützte Cyberangriffe. Bei Sicherheitstests bei OpenAI und Anthropic seien KI-Modelle über die Testumgebungen hinausgelangt und hätten reale externe Systeme angegriffen.

„Die Vorfälle machen klar, dass leistungsfähige KI-Agenten bereits heute selbstständig mehrstufige Angriffsketten ausführen und Schwachstellen ausnutzen können“, sagt Jan Wendenburg. Nach seiner Einschätzung könnten künftig neben Rechenzentren und klassischen IT-Systemen verstärkt vernetzte Maschinen, Produktionsanlagen und industrielle Steuerungen betroffen sein. Ein erfolgreicher Angriff könne dort neben Datendiebstahl auch Produktionsausfälle, Prozessmanipulationen und im schlimmsten Fall physische Schäden verursachen. „Unternehmen sollten die Umsetzung des CRA nicht als reine Compliance-Aufgabe betrachten, sondern als wichtigen Bestandteil ihrer betrieblichen Risikovorsorge“, erklärt Jan Wendenburg.

CRA Fast Start soll Unternehmen unterstützen

Onekey bietet mit „CRA Fast Start“ ein Programm an, mit dem Hersteller vernetzter Geräte, Maschinen und Anlagen ihre Produkte strukturiert und ohne Vorlaufzeiten auf CRA-Compliance überprüfen können. Das Konzept basiert laut Anbieter auf drei Säulen: CRA Readiness Assessment, systematischem Vulnerability Management und kontinuierlichem Monitoring. Zunächst wird der aktuelle Reifegrad des Unternehmens hinsichtlich der CRA-Anforderungen analysiert. Anschließend sollen Vulnerability Management und Monitoring Schwachstellen aufdecken, Transparenz in Softwarelieferketten schaffen und die nachhaltige Einhaltung der Anforderungen unterstützen.

„Mit CRA Fast Start ermöglichen wir Herstellern einen systematischen und kurzfristig umsetzbaren Einstieg in die vom Gesetzgeber geforderte CRA-Compliance“, erklärt Jan Wendenburg, CEO von Onekey, das Angebot.