Supply Chain spielt Schlüsselrolle bei CRA-Compliance

Der Cyber Resilience Act (CRA) stellt Hersteller vernetzter Produkte vor neue Anforderungen. Nicht nur selbst entwickelte Software muss sicher sein. Auch Betriebssysteme, Open-Source-Bibliotheken, Firmware und zugekaufte Komponenten müssen in die Cybersicherheitsbewertung einbezogen werden. Wie aus dem „IoT & OT Cybersecurity Report 2026“ des Düsseldorfer Cybersicherheitsspezialisten Onekey hervorgeht, ist die Industrie darauf bislang nur teilweise vorbereitet. Grundlage des Berichts ist eine Befragung von 200 Industrieunternehmen in Deutschland.

„Damit wird die Supply Chain zu einem entscheidenden Faktor für die CRA-Compliance, und zwar sowohl beim Einsatz von Fremdprogrammen in der eigenen Software als auch bei zugekauften Komponenten mit integrierter Software“, heißt es im Bericht.

Warum der Cyber Resilience Act die Lieferkette verändert

Moderne Industrieprodukte enthalten zahlreiche Softwarekomponenten unterschiedlicher Herkunft. Neben eigenen Entwicklungen kommen häufig externe Bibliotheken, Kommunikationsmodule, Software Development Kits, Container, Cloud-Komponenten und Firmware von Zulieferern zum Einsatz.

Dadurch entstehen komplexe Abhängigkeiten. Eine verwendete Softwarebibliothek kann weitere Komponenten enthalten, die dem Hersteller nicht unmittelbar bekannt sind. Wird in einer solchen Komponente eine Sicherheitslücke entdeckt, können zahlreiche Produkte und Produktversionen betroffen sein. Für Hersteller entsteht damit eine weitreichende Verantwortung.

„Der Cyber Resilience Act beendet die Vorstellung, dass sich die Verantwortung für unsichere Softwarekomponenten einfach an den Zulieferer weiterreichen lässt“, erklärt Jan Wendenburg, CEO von Onekey. „Wer ein Produkt unter eigenem Namen auf den europäischen Markt bringt, muss die Cybersicherheitsrisiken des gesamten Produkts beherrschen. Dafür benötigt der Hersteller belastbare Informationen darüber, welche Komponenten tatsächlich enthalten sind, woher sie stammen und welche Produktversionen bei einer neu entdeckten Schwachstelle betroffen sind.“

CRA-Compliance: Viele Unternehmen haben Nachholbedarf

Die Ergebnisse des Onekey-Reports zeigen deutliche Unterschiede beim Umgang mit den neuen Anforderungen. Bislang fordern lediglich 25,8 % der befragten deutschen Industrieunternehmen konsequent CRA-Compliance von ihren Lieferanten. Weitere 33,3 % setzen entsprechende Anforderungen zumindest teilweise um. Dagegen sind 20,8 % in diesem Bereich noch nicht aktiv geworden.

„In keinem Fall ersetzen Lieferantenbescheinigungen oder vertragliche Zusicherungen die eigene Risikobewertung des Herstellers“, stellt Jan Wendenburg klar.

Auch bei der Vorbereitung der Zulieferer zeigen sich erhebliche Unterschiede. Nach Angaben der befragten Hersteller haben sich lediglich 17,5 % der Zulieferer konsequent auf die Anforderungen eingestellt und liefern die notwendigen Informationen. Weitere 44,2 % berücksichtigen die Vorgaben zumindest teilweise. 13,3 % gelten als kaum vorbereitet. Bei 25,0 % können die Hersteller den Vorbereitungsstand ihrer Zulieferer nicht einschätzen.

Besonders bei internationalen Lieferketten entstehen zusätzliche Herausforderungen. „Gerade bei Zulieferern aus Asien erleben europäische Hersteller häufig, dass der Cyber Resilience Act noch kaum bekannt ist oder als rein europäische Angelegenheit betrachtet wird. Das ist ein Irrtum: Alle Lieferanten, die Produkte oder Komponenten in Europa verkaufen, müssen die CRA-Vorschriften selbst erfüllen. Werden Produkte oder Komponenten aus dem Ausland in ein anderes Produkt eingebaut und ebenfalls in Europa verkauft, muss der Hersteller für das neue Endprodukt ebenfalls CRA-Konformität nachweisen. Fehlende SBOMs, unklare Softwareversionen oder nicht geregelte Sicherheitsupdates können damit unmittelbar zum Compliance- und Marktzugangsrisiko werden“, warnt Onekey-CEO Jan Wendenburg.

Welche Rolle spielt die SBOM beim Cyber Resilience Act?

Ein wesentliches Instrument zur Dokumentation der Softwarelieferkette ist die Software Bill of Materials (SBOM). Sie erfasst die enthaltenen Softwarekomponenten und deren Beziehungen. Entscheidend ist dabei die Aktualität der Informationen. Eine einmalig erstellte Komponentenliste reicht nicht aus. Die SBOM muss zum tatsächlich ausgelieferten Softwarestand passen, eindeutig einer Produktversion zugeordnet sein und bei relevanten Änderungen aktualisiert werden.

Zusätzliche Schwierigkeiten entstehen durch unterschiedliche Datenformate und uneinheitliche Komponentenbezeichnungen. Manche Zulieferer dokumentieren ausschließlich direkt verwendete Softwarebestandteile, während tiefer liegende Abhängigkeiten fehlen. Andere SBOMs enthalten Komponenten, die zwar während der Entwicklung eingesetzt wurden, im fertigen Produkt jedoch nicht mehr vorhanden sind.

Hersteller müssen deshalb Informationen verschiedener Lieferanten zusammenführen, prüfen und mit dem tatsächlichen Binär- beziehungsweise Firmwarestand abgleichen. Auch Open-Source-Komponenten sind davon betroffen. Insbesondere ältere Bibliotheken ohne aktive Pflege oder verfügbare Sicherheitsupdates können die Risikobewertung erschweren.

SBOM ist eine wichtige Grundlage für CRA-Compliance

Beim Cyber Resilience Act besteht in der deutschen Industrie weiter Handlungsbedarf. Laut Onekey verfügen erst 18 % der befragten Unternehmen über vollständige Software-Stücklisten für alle betroffenen Produkte.

Redaktion Automation NEXT

Schwachstellenmanagement wird zur Daueraufgabe

Die Sicherheitsbewertung endet nicht mit der Markteinführung. Neue Schwachstellen können auch Monate oder Jahre später bekannt werden. Hersteller benötigen deshalb Prozesse, mit denen sich Sicherheitsmeldungen kontinuierlich mit den eingesetzten Komponenten, Produktversionen und installierten Gerätebeständen abgleichen lassen.

Allerdings bedeutet eine bekannte Schwachstelle nicht automatisch, dass sie im konkreten Produkt ausgenutzt werden kann. Konfiguration, Einsatzbedingungen und die Erreichbarkeit betroffener Funktionen spielen eine wichtige Rolle. Hier können VEX-Informationen (Vulnerability Exploitability eXchange) unterstützen. Sie dokumentieren, ob und warum eine Schwachstelle für ein bestimmtes Produkt relevant ist.

„Eine SBOM schafft zwar Sichtbarkeit, aber Compliance entsteht erst, wenn Unternehmen diese Informationen in operative Prozesse überführen“, erläutert Jan Wendenburg. „Sie müssen neue Schwachstellen bewerten, betroffene Produkte identifizieren, Entscheidungen nachvollziehbar dokumentieren und bei Bedarf rechtzeitig Sicherheitsupdates bereitstellen. Genau diese Verbindung zwischen Softwarebestand, Risikobewertung und Reaktion ist in komplexen Lieferketten die eigentliche Herausforderung.“

Was der Cyber Resilience Act für den Einkauf bedeutet

Mit dem CRA gewinnen Cybersicherheitsanforderungen bereits bei der Auswahl und Beschaffung von Komponenten an Bedeutung. Neben technischen Spezifikationen, Preisen und Lieferterminen benötigen Hersteller künftig belastbare Angaben über die eingesetzte Software und deren Sicherheitsstatus. Dazu gehören nachvollziehbare Softwareabhängigkeiten, definierte Meldewege für Schwachstellen, Reaktionszeiten und verbindliche Regelungen zu Sicherheitsupdates.

Auch Supportzeiträume und der Umgang mit nicht mehr gepflegten Komponenten sollten vertraglich festgelegt werden. Gleiches gilt für Informationspflichten über vorgelagerte Lieferstufen. Ein weiterer Aspekt ist die eindeutige Zuordnung von Softwarekomponenten zu Produkt- und Firmwareversionen. Vertragliche Vereinbarungen allein gewährleisten jedoch noch keine CRA-Konformität. Hersteller müssen die erhaltenen Informationen selbst bewerten und in ihre Sicherheitsprozesse integrieren.

Automatisierte Softwareanalyse unterstützt die Compliance

Bei großen Produktportfolios und häufigen Firmwareaktualisierungen geraten manuell gepflegte Tabellen an ihre Grenzen. Onekey setzt deshalb auf automatisierte Analysen von Binär- und Firmwaredateien. Die Onekey Product Cybersecurity & Compliance Plattform kann Softwarekomponenten identifizieren, vorhandene SBOMs importieren und validieren sowie Informationen aus verschiedenen Quellen zusammenführen. Unterstützt werden unter anderem die standardisierten Formate CycloneDX und SPDX. Zusätzlich lassen sich VEX- und VDR-Informationen einbinden.

Die Plattform überwacht Produktstände auf bekannte und bislang unbekannte Schwachstellen. Automatisierte Impact Assessments sollen helfen, theoretische Schwachstellentreffer von tatsächlich relevanten Risiken zu unterscheiden. Damit können Produktentwicklung, Product Security Incident Response Teams, Compliance-Verantwortliche und Produktmanagement auf einer gemeinsamen Informationsbasis arbeiten.

Wann greifen die Pflichten des Cyber Resilience Act?

Der regulatorische Zeitplan erhöht den Handlungsdruck. Bereits seit dem 11. September 2026 gelten die CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Ab dem 11. Dezember 2027 werden die wesentlichen Produkt- und Herstellerpflichten vollständig anwendbar. Neue Produkte mit digitalen Elementen müssen dann grundsätzlich CRA-konform sein, wenn sie erstmals auf dem europäischen Markt bereitgestellt werden.

Für Industrieunternehmen bedeutet dies, dass fehlende Softwareinformationen rechtzeitig beschafft, SBOMs validiert und Zuständigkeiten festgelegt werden müssen. Hinzu kommen Prozesse für Sicherheitsbewertungen, Aktualisierungen, Dokumentation und Meldungen. „Unternehmen sollten nicht bis zur abschließenden Konformitätsbewertung warten“, warnt Jan Wendenburg. „Wer erst kurz vor dem Markteintritt feststellt, dass zentrale Komponenten nicht identifizierbar sind oder der Lieferant keine ausreichenden Sicherheitsinformationen liefern kann, riskiert Verzögerungen, kostspielige Nacharbeiten und im schlimmsten Fall den Verlust des Marktzugangs. CRA-Compliance in der Lieferkette muss deshalb bereits beim Einkauf beginnen.“