Grundlagen
Checkliste: Das müssen sie über den Cyber Resilience Act wissen
Bild: Adi Goldstein via Unsplash / TÜV-Verband
14.09.2026 - Ab jetzt greifen die ersten Pflichten des Cyber Resilience Act - doch die meisten Unternehmen sind darauf nicht vorbereitet:
von Sebastian Halm
Ab dem 11. September müssen Hersteller aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle, etwa in Software oder vernetzten Geräten, innerhalb von 24 Stunden melden und diese Meldung innerhalb von 72 Stunden um weitere Informationen ergänzen. Hinzu kommen verpflichtende Abschlussberichte. Doch kurz vor dem Start ist das Gesetz in vielen Unternehmen noch nicht angekommen.
Zwei Drittel der Unternehmen in Deutschland (67 Prozent) ist der Cyber Resilience Act (CRA) zwar ein Begriff, doch nur 29 Prozent ist auch bewusst, was er für das eigene Unternehmen bedeutet. 38 Prozent haben von dem Gesetz gehört, können die Bedeutung für das eigene Unternehmen aber nicht einschätzen. 28 Prozent kennen den CRA überhaupt nicht. Das sind Ergebnisse einer Umfrage unter 1.003 Unternehmen ab 10 Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom
.
CRA-Checkliste für Unternehmen
- Betroffenheit prüfen: Klären, welche eigenen Hardware- und Softwareprodukte beziehungsweise digitalen Komponenten unter den Cyber Resilience Act fallen.
- Produkte kategorisieren: Feststellen, ob es sich um Standardprodukte, wichtige oder kritische Produkte handelt, da davon Anforderungen an die Konformitätsbewertung abhängen können.
- Security by Design und by Default verankern: Cybersicherheit muss bereits bei Entwicklung und Voreinstellungen berücksichtigt werden - nicht erst nach Markteinführung.
- Cyberrisiken dokumentieren: Für betroffene Produkte Risikobewertungen erstellen und regelmäßig aktualisieren.
- Schwachstellenmanagement aufsetzen: Prozesse für Erkennung, Bewertung, Behebung und Dokumentation von Sicherheitslücken etablieren.
- Sicherheitsupdates organisieren: Sicherstellen, dass Updates über den vorgesehenen Supportzeitraum bereitgestellt werden können.
- Software-Komponenten erfassen: Eine Software Bill of Materials vorhalten, damit verwendete Komponenten und Abhängigkeiten nachvollziehbar bleiben.
- Meldepflichten vorbereiten: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen seit 11. September 2026 gemeldet werden; dafür interne Verantwortlichkeiten und Fristen festlegen.
- Konformität nachweisen: Technische Dokumentation, Konformitätsbewertung und erforderliche Nachweise für betroffene Produkte vorbereiten.
- Frist im Blick behalten: Der CRA gilt ab 11. Dezember 2027 vollständig. Unternehmen sollten die verbleibende Zeit für Prozesse, Dokumentation und technische Anpassungen nutzen.
So ist für die Meldung von Sicherheitslücken und -vorfällen eine zentrale europäische Plattform vorgesehen, die den sicheren Informationsaustausch zwischen Unternehmen, den zuständigen nationalen Stellen und der EU-Cybersicherheitsagentur ENISA ermöglichen soll. In Deutschland ist das das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig. Selbst gut vorbereitete Unternehmen können sich allerdings nicht vorab auf der Meldeplattform registrieren und die Meldewege erproben, weil die Plattform erst zum Stichtag live geht.
Grundlage der Angaben ist eine repräsentative Umfrage von Bitkom Research unter 1.003 Unternehmen ab 10 Beschäftigten und einem Jahresumsatz von mindestens 1 Mio. Euro in Deutschland.
Vorträge zum Thema:
Anzeige
HighText Verlag
Mischenrieder Weg 18
82234 Weßling
Tel.: +49 (0) 89-57 83 87-0
Fax: +49 (0) 89-57 83 87-99
E-Mail: info@onetoone.de
Web: www.hightext.de
Besuchen Sie auch:
